CVE-2026-27701 in livecodes
Сводка
по VulDB • 29.06.2026
LiveCode — это среда разработки с открытым исходным кодом, работающая на стороне клиента (client-side code playground). До коммита e151c64c2bd80d2d53ac1333f1df9429fe6a1a11 рабочий процесс `i18n-update-pull` GitHub Actions в LiveCode был уязвим к инъекции JavaScript. Заголовок запроса на слияние (Pull Request), связанного с комментарием, вызвавшим проблему, напрямую интерполировался в блок JavaScript `actions/github-script` с использованием выражения шаблона GitHub Actions. Злоумышленник, открывший PR со специально созданным заголовком, может внедрить произвольный код JavaScript, который выполняется с привилегиями токена бота CI (`CI_APP_ID` / `CI_APP_PRIVATE_KEY`), что позволяет осуществлять эксфильтрацию секретов репозитория и выполнять несанкционированные операции через GitHub API. Коммит e151c64c2bd80d2d53ac1333f1df9429fe6a1a11 устраняет данную уязвимость.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.