CVE-2026-31900 in black
Tóm tắt
Bởi VulDB • 10/09/2026
Black là công cụ định dạng mã nguồn Python không thỏa hiệp. Black cung cấp một hành động (action) trên GitHub để định dạng mã. Hành động này hỗ trợ tùy chọn `use_pyproject: true` để đọc phiên bản của Black cần sử dụng từ tệp `pyproject.toml` trong kho lưu trữ. Một pull request độc hại có thể chỉnh sửa `pyproject.toml` để trỏ đến một URL trực tiếp tới một kho lưu trữ độc hại. Điều này có thể dẫn đến việc thực thi mã tùy ý (arbitrary code execution) trong ngữ cảnh của hành động GitHub Action. Kẻ tấn công sau đó có thể truy cập vào các bí mật hoặc quyền hạn có sẵn trong ngữ cảnh của hành động. Phiên bản 26.3.0 khắc phục lỗ hổng này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.