CVE-2023-28430 in OneSignal
Sumário
de VulDB • 21/06/2026
OneSignal é um serviço de e-mail, SMS, notificações push e mensagens no aplicativo para aplicativos móveis. O fluxo de trabalho Zapier.yml é acionado em questões (tipos: [closed]) (ou seja, quando uma Issue é fechada). O fluxo de trabalho começa com um token do repositório GitHub com permissões totais de gravação, já que as permissões padrão dos fluxos de trabalho no nível da Organização/Repositório estão definidas como leitura-escrita. Este fluxo de trabalho executa a seguinte etapa com dados controlados pelo comentário `(${{ github.event.issue.title }} – o título completo da Issue)`, permitindo que um atacante assuma o controle do GitHub Runner e execute comandos personalizados, potencialmente roubando qualquer segredo (se utilizado) ou alterando o repositório. Este problema foi encontrado usando CodeQL com injeção de expressão JavaScript na consulta Actions. Esta questão foi resolvida nas ações do repositório github. Nenhuma ação é necessária por parte dos usuários. Este problema também está rastreado como `GHSL-2023-051`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.