L’ús insegur de l’activador d’accions de GitHub al lloc web d’Eclipse Theia
05/02/2026
CVE-2026-1699
CRÍTIC (10,0)
CVSS3: 0,0
Al repositori del lloc web d'Eclipse Theia, el flux de treball de GitHub Actions .github/workflows/preview.yml va fer servir l'activador pull_request_target mentre feia la consulta i executava el codi de sol·licitud d'extracció no fiable. Això va permetre que qualsevol usuari de GitHub executés codi arbitrari a l'entorn CI del repositori amb accés als secrets del repositori i un GITHUB_TOKEN amb permisos amplis d'escriptura (content:write, packages:write, pages:write, actions:write). Un atacant podria exfiltrar secrets, publicar paquets maliciosos a l'organització Eclipse-Theia, modificar el lloc web oficial de Theia i enviar codi maliciós al repositori.
post:/platform/configuration/security/service-accountsdelete:/platform/configuration/security/service-accounts/patch:/platform/configuration/security/service-accounts/post:/platform/configuration/security/service-accounts//keysdelete:/platform/configuration/security/service-accounts//keys/patch:/userpost:/userspost:/users/auth/keysdelete:/users/auth/keysdelete:/users/auth/keys/_alldelete:/users/auth/keys/delete:/users//auth/keysdelete:/users//auth/keys/delete:/users/patch:/users/
Sistemes Afectats
- Eclipse Foundation Eclipse Theia – Website 0
Remediació
No hi ha cap recurs disponible a partir del 30 de gener del 2026.Vegeu-ne les Referències.
