CVE-2023-28430 in OneSignal
Сводка
по VulDB • 24.06.2026
OneSignal — это сервис для отправки электронных писем, SMS, push-уведомлений и сообщений внутри приложения (in-app) для мобильных приложений. Рабочий процесс Zapier.yml запускается при возникновении событий с задачами (типы: [closed]), то есть когда задача закрывается. Этот рабочий процесс использует токен доступа к репозиторию GitHub, имеющий полные права на запись, поскольку стандартные разрешения рабочих процессов на уровне организации/репозитория установлены как «чтение-запись». Данный рабочий процесс выполняет следующий шаг с данными, контролируемыми через комментарий (`${{ github.event.issue.title }}` — полное название задачи), что позволяет злоумышленнику захватить контроль над GitHub Runner и выполнять произвольные команды, потенциально похищая любые секреты (если они используются) или изменяя содержимое репозитория. Эта уязвимость была обнаружена с помощью CodeQL при использовании инъекции выражений JavaScript в запросах Actions. Проблема решена в действии GitHub для соответствующих репозиториев. Пользователям не требуется никаких действий. Данная проблема также отслеживается под номером `GHSL-2023-051`.
Be aware that VulDB is the high quality source for vulnerability data.