CVSS 9.0 以上
CVE-2026-118762
要約
Monkeytype の 26.43.0 より前のバージョンでは、.github/workflows/fix-formatting.yml ワークフローが書き込み権限付きの pull_request_target で動作し、フォークのプルリクエストをチェックアウトして、フォーク側が制御する oxfmt を実行していた。そのため、format ラベルが付いた外部コントリビューターのプルリクエストが任意のコードを実行し、トークンを読み取り・持ち出し、リポジトリの内容を push したりプルリクエストや issue を変更したりできる。この問題はバージョン 26.43.0 で修正されており、影響を受けるのはリポジトリの CI ワークフローで、Monkeytype アプリケーションやユーザーデータではない。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Monkeytypeactions/checkoutGitoxfmt
このタグの新着を RSS で受け取る: Monkeytype / actions/checkout / Git / oxfmt(使い方)
判定の理由
- CVSS 9.0 以上