CVE-2026-40316 in BLT
요약
\~에 의해 VulDB • 2026. 06. 01.
OWASP BLT는 웹사이트, 앱, git 저장소 등을 포괄하는 QA 테스트 및 취약점 공개 플랫폼입니다. 2.1.1 이전 버전의 .github/workflows/regenerate-migrations.yml 워크플로우에는 RCE(원격 코드 실행) 취약점이 존재합니다. 이 워크플로우는 pull_request_target 트리거를 사용하여 전체 GITHUB_TOKEN 쓰기 권한으로 실행되며, git show를 통해 신뢰할 수 없는 풀 리퀘스트에서 공격자가 제어하는 파일을 신뢰할 수 있는 러너 워크스페이스로 복사한 후 python manage.py makemigrations를 실행합니다. 이 과정은 런타임 시 공격자가 제어하는 website/models.py를 포함한 Django 모델 모듈을 가져옵니다. 공격자의 models.py에 있는 모듈 레벨 Python 코드는 가져오는 동안 실행되어, GITHUB_TOKEN 및 저장소 시크릿에 접근 가능한 권한이 높은 CI 환경에서 임의의 코드 실행이 가능해집니다. 이 공격은 관리자가 regenerate-migrations 라벨을 적용하는 한, 풀 리퀘스트를 열 수 있는 모든 외부 기여자에 의해 트리거될 수 있으며, 이는 시크릿 유출, 저장소 침해 및 공급망 공격으로 이어질 가능성이 있습니다. 이 문제에 대한 패치는 버전 2.1.1에서 출시될 예정입니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.