@e2e-dev/github before 0.4.1 contains an improper authorization vulnerability that allows pull request commenters to hijack CI test reports by posting comments with the predictable marker. Because findComment and upsertComment in post.ts never check the comment author, attackers can receive results in their own comment and edit failures to passes, or suppress genuine reports entirely.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
tester-army:@e2e-dev/github
Ссылки 5
https://github.com/tester-army/e2e/pull/1161
NVD
https://github.com/tester-army/e2e/commit/ce4dac373784f87fade6808119ba537a0b496…
NVD
https://github.com/tester-army/e2e/releases/tag/%40e2e-dev%2Fgithub%400.4.1
@e2e-dev/github %40e2e-dev%2Fgithub%400.4.1 Release Notes
https://github.com/tester-army/e2e/blob/37e946907bc26743d68861b97127271143441eb…
NVD
https://www.vulncheck.com/advisories/e2e-dev-github-before-0.4.1-ci-report-hija…
VulnCheck Advisory: @e2e-dev/github before 0.4.1 CI Report Hijacking via Predictable Comment Marker