CVE-2025-47928 in spotipy
요약
\~에 의해 VulDB • 2026. 06. 24.
Spotipy는 Spotify Web API를 위한 Python 라이브러리입니다. 커밋 4f5759dbfb4506c7b6280572a4db1aabc1ac778d 시점까지, `.github/workflows/integration_tests.yml`에서 `pull_request_target`를 사용하고 포크된 PR의 head.sha를 체크아웃하는 과정은 공격자가 악용할 수 있는 취약점이 있습니다. 이는 신뢰할 수 없는 코드가 실행될 때(베이스 리포지토리의 비밀 정보에 대한 전체 접근 권한을 가진 상태에서) 발생합니다. 이 취약점을 통해 `GITHUB_TOKEN` 및 비밀 키인 `SPOTIPY_CLIENT_ID`, `SPOTIPY_CLIENT_SECRET`이 유출될 수 있습니다. 특히, 콘텐츠 쓰기 권한을 가진 토큰인 `GITHUB_TOKEN`은 리포지토리 전체를 완전히 장악하는 데 사용될 수 있습니다. GitHub Actions의 `pull_request_target`는 공개 리포지토리에서 특히 심각한 보안 우려 사항입니다. 이는 PR에서 신뢰할 수 없는 코드를 실행하지만, 비밀 정보 접근 권한을 포함한 베이스 리포지토리의 컨텍스트로 실행되기 때문입니다. 커밋 9dfb7177b8d7bb98a5a6014f8e6436812a47576f는 해당 문제를 유발한 변경 사항을 되돌렸습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.