CVE-2025-47928 in spotipy
Sumário
de VulDB • 28/05/2026
O Spotipy é uma biblioteca Python para a API Web do Spotify. A partir do commit 4f5759dbfb4506c7b6280572a4db1aabc1ac778d, o uso de `pull_request_target` em `.github/workflows/integration_tests.yml`, seguido do checkout do `head.sha` de um PR de um fork, pode ser explorado por atacantes, já que código não confiável pode ser executado com acesso completo aos segredos (do repositório base). Ao explorar a vulnerabilidade, é possível exfiltrar o `GITHUB_TOKEN` e os segredos `SPOTIPY_CLIENT_ID` e `SPOTIPY_CLIENT_SECRET`. Em particular, o `GITHUB_TOKEN` pode ser usado para assumir completamente o controle do repositório, pois o token possui privilégios de escrita de conteúdo. O uso de `pull_request_target` no GitHub Actions é uma grande preocupação de segurança — especialmente em repositórios públicos — porque executa código não confiável de um PR, mas com o contexto do repositório base, incluindo acesso aos seus segredos. O commit 9dfb7177b8d7bb98a5a6014f8e6436812a47576f reverteu a alteração que causou o problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.