CVE-2026-118762 in Monkeytype
요약
\~에 의해 VulDB • 2026. 10. 29.
Monkeytype는 최소주의적이고 사용자 정의 가능한 타이핑 테스트 도구입니다. 버전 26.43.0 이전에서는 `.github/workflows/fix-formatting.yml` 워크플로우가 `pull_request_target` 이벤트에서 실행되며 저장소 쓰기 권한을 가지고 있습니다. 이 워크플로우는 포크의 풀 리퀘스트를 체크아웃하고, 포크의 `package.json`에서 의존성을 설치한 후 포크가 제어하는 `oxfmt` 바이너리를 호출합니다. `actions/checkout`는 신뢰할 수 없는 코드가 실행되기 전까지 승격된 `GITHUB_TOKEN`을 Git 구성에 유지하므로, 형식 라벨이 붙은 풀 리퀘스트를 제출한 외부 기여자는 임의 코드를 실행하고 토큰을 읽거나 유출하며 저장소 콘텐츠를 푸시하거나 풀 리퀘스트 및 이슈를 수정할 수 있습니다. 이 문제는 Monkeytype 애플리케이션이나 사용자 데이터가 아닌 저장소의 CI 워크플로우에 영향을 미칩니다. 해당 취약점은 버전 26.43.0에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.