Black GitHub Action에서 pyproject.toml 설정으로 외부 코드 실행 가능
파이썬 코드 정리 도구의 깃허브 자동화에서 남의 코드가 실행될 수 있습니다.
요약
Black GitHub Action을 use_pyproject: true로 쓰면 pyproject.toml의 required-version 값을 검증 없이 설치합니다. 풀 리퀘스트를 보낼 수 있는 공격자가 이를 이용해 저장소의 GitHub Actions 환경에서 자신의 코드를 실행할 수 있습니다.
해당 조건
- Black GitHub Action에서 use_pyproject: true 사용
- 공격자가 풀 리퀘스트를 제출할 수 있는 저장소
대처법
Black을 26.10.1로 업데이트하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인