Podatności Zuke

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 @zuke/core zapisuje notatki reportSummary(...) do GITHUB_STEP_SUMMARY przez writeJobSummary bez stosowania redaktora chroniącego wartości secret(). Budowanie GitHub Actions, które umieszcza tekst pochodzący z sekretów w notatce podsumowania, może ujawnić poświadczenia w postaci jawnej wszystkim mogącym zobaczyć uruchomienie workflow.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.10.0 bramka @zuke/gh githubWorkflow(...) koreluje uruchomienie workflow jedynie na podstawie znacznika tytułu widocznego na liście uruchomień, który może skopiować inny dyspozytor. W konfiguracjach, gdzie zewnętrzne repozytorium workflow przyznaje uprawnienie workflow_dispatch stronie niezaufanej w równym stopniu, atakujący może wywołać uruchomienie ze znacznikiem i spowodować przyjęcie jego wyniku bez weryfikacji zdarzenia, ref lub okna czasowego.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 @zuke/core uruchamia rozwiązane shimy Windows .cmd i .bat, poprzedzając je cmd /c, co powoduje ponowne parsowanie wiersza poleceń przez cmd.exe zgodnie z regułami cytowania C-runtime. Budowanie na Windows, które rozwiązuje narzędzie z node_modules/.bin i przekazuje tekst pod wpływem atakującego zawierający niecytowany znak &, | lub ^, może wykonać dodatkowe polecenie wybrane przez atakującego w kontekście budowania z dostępem do jego poświadczeń.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 tryb rejestru MCP @zuke/core akceptuje deskryptory rejestru w formie poleceń bez stosowania autoryzacji ZUKE_REGISTRY_LAUNCH_HOSTS wymaganej dla zdalnych deskryptorów modułów. Gdy zuke mcp --registry --allow-run czyta rejestr zapisywalny przez inną stronę, a wywołujący z uprawnieniami uruchamiania wywoła dotknięte narzędzie, piszący do rejestru może wybrać program i argumenty wykonywane ze środowiskiem i dostępem do obszaru roboczego operatora.