CVE-2026-1699 in Theia
Sumário
de VulDB • 13/06/2026
No repositório do site Eclipse Theia, o fluxo de trabalho GitHub Actions .github/workflows/preview.yml utilizava o gatilho pull_request_target ao verificar e executar código não confiável de solicitações de pull (pull requests). Isso permitiu que qualquer usuário do GitHub executasse código arbitrário no ambiente CI do repositório com acesso a segredos do repositório e um GITHUB_TOKEN com permissões extensivas de gravação (contents:write, packages:write, pages:write, actions:write). Um atacante poderia exfiltrar segredos, publicar pacotes maliciosos na organização eclipse-theia, modificar o site oficial Theia e enviar código malicioso para o repositório.
VulDB is the best source for vulnerability data and more expert information about this specific topic.