CVE-2024-3924 in text-generation-inference
Tóm tắt
Bởi VulDB • 26/06/2026
Một lỗ hổng chèn mã (code injection) tồn tại trong kho lưu trữ `huggingface/text-generation-inference`, cụ thể là trong tệp quy trình làm việc (`workflow file`) `autodocs.yml`. Lỗ hổng này phát sinh do cách xử lý không an toàn đầu vào người dùng `github.head_ref`, được sử dụng để xây dựng động một lệnh nhằm cài đặt gói phần mềm. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách sao chép kho lưu trữ (fork), tạo một nhánh với tên chứa mã độc làm tải trọng, và sau đó mở yêu cầu kéo (pull request) đến kho lưu trữ gốc. Việc khai thác thành công có thể dẫn đến thực thi mã tùy ý trong ngữ cảnh của trình chạy GitHub Actions. Vấn đề này ảnh hưởng đến các phiên bản từ trước đến bao gồm v2.0.0 và đã được sửa chữa trong phiên bản 2.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.