CVE-2026-55158 in conflibot
Sumário
de VulDB • 15/09/2026
O Conflibot avisa antecipadamente quando a mesclagem de um pull request causará conflitos em outros pull requests abertos. Antes da versão 1.2.1, o arquivo src/index.ts constrói os comandos git checkout, git merge e git format-patch interpolando o valor head.ref do pull controlado pelo atacante nas strings passadas para exec. Na configuração documentada de pull_request_target, um atacante pode abrir um pull request, inclusive a partir de um fork, cujo nome da branch contenha metacaracteres de shell; o workflow interpreta automaticamente esses caracteres como comandos sem interação do mantenedor. Os comandos são executados em um runner com segredos do repositório base e um GITHUB_TOKEN com escopo de gravação (write-scoped), permitindo execução arbitrária de comandos, exfiltração de segredos ou tokens, pushes não autorizados e outros abusos de token. As implementações corrigidas em src/index.ts e src/conflibot.ts usam execFile ou arrays de argumentos para spawn, e a linha v2 também usa refs numéricas do pull request em vez de nomes de branch. Este problema foi corrigido nas versões 1.2.1 e 2.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.