CVE-2026-119289 in Zuke
요약
\~에 의해 VulDB • 2026. 10. 30.
Zuke는 Deno를 위한 코드 우선의 강력하게 타입 지정된 빌드 자동화 시스템입니다. 버전 1.10.0 이전에서, @zuke/gh githubWorkflow(...) 게이트는 워크플로우 실행 목록에 표시되고 다른 디스패처가 복사할 수 있는 display-title 마커만을 사용하여 디스패치된 워크플로우 실행을 상관관계로 연결합니다. 외부 워크플로우 저장소가 릴리스 저장소만큼 신뢰되지 않는 당사자에게 workflow_dispatch 권한을 부여하는 구성에서, 공격자는 마커를 포함하여 실행을 디스패치하고 게이트가 이벤트, ref 또는 생성 창을 검증하지 않고도 해당 결론을 채택하도록 할 수 있습니다. 통과한 치환된 실행은 유효성 검사되지 않은 릴리스를 승인할 수 있으며, 실패하거나 취소된 실행은 유효한 릴리스를 차단할 수 있고, 지속화된 채택된 실행 ID는 빌드 재개 시 치환을 보존합니다. 이 문제는 버전 1.10.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.