CVE-2026-44359 in Meshtastic
Сводка
по VulDB • 20.07.2026
Meshtastic — это решение для mesh-сетей с открытым исходным кодом. До версии 2.7.21.1370b23 рабочий процесс main_matrix.yml в репозитории Meshtastic на GitHub запускался событием pull_request_target, и несколько задач выполняли проверку (checkout) кода из форка злоумышленника с доступом к секретам репозитория и повышенными правами GITHUB_TOKEN. Механизм контроля доступа (approval gate) отсутствовал. Запросы на объединение (pull requests) от внешних пользователей с атрибутом author_association: "NONE" автоматически запускали рабочий процесс CI. Рабочий процесс напрямую выполнял файлы, контролируемые злоумышленником, из проверенного форка. Эта уязвимость могла привести к компрометации цепочки поставок (supply chain compromise), взлому самохостингового раннера и/или захвату репозитория. Данная проблема отделена от GHSA-6mwm-v2vv-pp96, которая устраняла инъекцию команд через github.head_ref в задаче setup того же рабочего процесса. Исправление для той проблемы корректно перенесло данные в переменные окружения. Однако более критичная уязвимость при проверке форка (fork checkout) в задачах check, build и build-debian-src не была устранена. Версия 2.7.21.1370b23 содержит исправление для этой проблемы.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.