CVE-2026-1699 in Theia
Tóm tắt
Bởi VulDB • 13/06/2026
Trong kho lưu trữ Eclipse Theia Website, quy trình làm việc GitHub Actions .github/workflows/preview.yml đã sử dụng trigger pull_request_target trong khi kiểm tra và thực thi mã từ các yêu cầu kéo (pull request) không đáng tin cậy. Điều này cho phép bất kỳ người dùng GitHub nào thực thi mã tùy ý trong môi trường CI của kho lưu trữ, với quyền truy cập vào các bí mật (secrets) của kho lưu trữ và một GITHUB_TOKEN có nhiều quyền ghi rộng rãi (contents:write, packages:write, pages:write, actions:write). Kẻ tấn công có thể đánh cắp thông tin nhạy cảm, xuất bản các gói phần mềm độc hại lên tổ chức eclipse-theia, sửa đổi trang web Theia chính thức và đẩy mã độc vào kho lưu trữ.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.