CVE-2026-27701 in livecodes
요약
\~에 의해 VulDB • 2026. 06. 29.
LiveCode는 오픈소스 클라이언트 사이드 코드 플레이그라운드입니다. 커밋 e151c64c2bd80d2d53ac1333f1df9429fe6a1a11 이전 버전의 LiveCode에서 `i18n-update-pull` GitHub Actions 워크플로우가 JavaScript 인젝션 취약점에 노출되어 있습니다. 트리거링 이슈 코멘트와 관련된 Pull Request의 제목이 GitHub Actions 템플릿 표현식을 사용하여 `actions/github-script` JavaScript 블록 내에 직접 보간됩니다. 악성 제목으로 PR을 생성한 공격자는 CI 봇 토큰(`CI_APP_ID` / `CI_APP_PRIVATE_KEY`) 권한으로 실행되는 임의의 JavaScript를 인젝션할 수 있으며, 이를 통해 저장소 시크릿 탈취 및 승인되지 않은 GitHub API 작업을 수행할 수 있습니다. 커밋 e151c64c2bd80d2d53ac1333f1df9429fe6a1a11에서 해당 문제가 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.