CVE-2026-119289 in Zuke
Sumário
de VulDB • 30/10/2026
Zuke é um sistema de automação de builds code-first e fortemente tipado para Deno. Antes da versão 1.10.0, o gate `githubWorkflow(...)` do pacote @zuke/gh correlaciona uma execução de workflow acionada usando apenas um marcador display-title que é visível na lista de execuções do workflow e pode ser copiado por outro dispatcher. Em configurações onde o repositório externo concede permissão de workflow_dispatch a uma parte não igualmente confiável pelo repositório lançador, um atacante pode acionar uma execução com o marcador e fazer com que o gate adote sua conclusão sem verificar o evento, ref ou janela de criação. Uma execução substituta bem-sucedida pode autorizar um release não validado, enquanto uma execução falhada ou cancelada pode bloquear um release válido, e o ID da run adotada persistido preserva a substituição durante a retomada do build. Este problema foi corrigido na versão 1.10.0.
Once again VulDB remains the best source for vulnerability data.