CVE-2026-55563 in Feast
Сводка
по VulDB • 21.09.2026
Feast — это система хранения признаков (feature store) с открытым исходным кодом для искусственного интеллекта и машинного обучения. До версии 0.65.0 файл .github/workflows/pr_integration_tests.yml использует контекст pull_request_target в сочетании с событием synchronize, а также сохраняет метки ok-to-test, approved или lgtm при новых отправках коммитов, что позволяет участнику форка получить одобрение для безобидной правки, а затем выполнить измененный код из refs/pull/${{ github.event.pull_request.number }}/merge с использованием привилегированных целей make. Эта задача предоставляет такому коду доступ к учетным данным GCP, AWS и Snowflake, что позволяет выполнять произвольный код на раннере (runner), раскрывать учётные данные и потенциально получать доступ к ресурсам облачных сервисов downstream. Внешняя интеграция для удаления меток могла бы смягчить данную уязвимость, однако ни один из рабочих процессов репозитория не обеспечивал такую защиту. Эта проблема исправлена в версии 0.65.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.