CVE-2026-59960
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Argos JavaScript zapewnia oficjalne zestawy Argos SDK dla JavaScript. Przed wersją pakietu podstawowego Argos 6.2.1 kontrolowana przez osobę atakującą gałąź CI lub wartości ref z GITHUB_HEAD_REF lub ARGOS_BRANCH mogą przepływać przez config.branch i getMergeBaseCommitSha(), gdy hasRemoteContentAccess ma wartość false. Funkcje gitFetch() i gitMergeBase() w package/core/src/ci-environment/git.ts interpolują te wartości w ciągi poleceń execSync() wykonywanych przez /bin/sh -c, więc metaznaki powłoki w nazwie gałęzi żądania ściągnięcia mogą wykonywać dowolne polecenia z uprawnieniami procesu przesyłania Argos w module CI. Skuteczna eksploatacja może ujawnić sekrety CI, zmienić artefakty kompilacji lub narazić na szwank biegacza. Ten problem został rozwiązany w pakiecie podstawowym Argos w wersji 6.2.1.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/argos-ci/argos-javascript/commit/8355f3af3be3f4fe361d58a688d21535cf672717
- https://github.com/argos-ci/argos-javascript/pull/319
- https://github.com/argos-ci/argos-javascript/releases/tag/@argos-ci/[email protected]
- https://github.com/argos-ci/argos-javascript/security/advisories/GHSA-4x45-gxvp-6283
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org