aeon - совместимая с scikit-learn библиотека Python для обучения из временных рядов. До версии 1.5.0 рабочий процесс GitHub Actions использовал pull_request_target для предварительной проверки запросов на вытаскивание из форков. В этой конфигурации код, управляемый форком, может быть проверен и выполнен в привилегированном контексте.
Уязвимый рабочий процесс также генерировал/использовал повышенные учетные данные и мог автоматически фиксировать или отодвигать исправления, чтобы отозвать ветки запросов. Это создало потенциальную экспозицию токена и путь записи в хранилище, если злоумышленник представил вредоносный запрос на извлечение форка, предназначенный для выполнения во время привилегированного выполнения рабочего процесса. Эта проблема была исправлена в версии 1.5.0.
Показать оригинальное описание (EN)
aeon is a scikit-learn compatible Python library for learning from time series. Prior to version 1.5.0, a GitHub Actions workflow used pull_request_target for pre-commit checks on pull requests from forks. In this configuration, fork-controlled code could be checked out and executed in a privileged context. The vulnerable workflow also generated/used elevated credentials and could automatically commit or push fixes back to pull request branches. This created a potential token exposure and repository write path if an attacker submitted a malicious fork pull request designed to execute during the privileged workflow run. This issue has been patched in version 1.5.0.
Характеристики атаки
Последствия
Строка CVSS v4.0