MonkeytypeのCIに脆弱性、修正版26.43.0が公開
Summary
MonkeytypeのGitHubリポジトリで、外部から送られたプルリクエストのコードが、書き込み権限つきのCIで動いてしまう脆弱性が見つかりました。影響するのはCIの設定で、アプリや利用者データではありません。リポジトリを管理している組織や、フォークして同じワークフローを残している組織は、26.43.0への更新か同等の修正を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
MonkeytypeのGitHubリポジトリで、外部から送られたプルリクエストのコードが、書き込み権限つきのCIで動いてしまう脆弱性が見つかりました。影響するのはCIの設定で、アプリや利用者データではありません。リポジトリを管理している組織や、フォークして同じワークフローを残している組織は、26.43.0への更新か同等の修正を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| monkeytypegame | monkeytype | — | — |
Original description The description as published by the source.
Monkeytype is a minimalistic and customizable typing test. Prior to 26.43.0, the .github/workflows/fix-formatting.yml workflow runs on pull_request_target with repository write permissions, checks out a fork pull request, installs dependencies from the fork's package.json, and invokes the fork-controlled oxfmt binary. Because actions/checkout persists the elevated GITHUB_TOKEN in Git configuration until after untrusted code executes, an external contributor whose pull request receives the format label can run arbitrary code, read or exfiltrate the token, and push repository content or modify pull requests and issues. The issue affects the repository CI workflow, not the Monkeytype application or user data. This issue is fixed in version 26.43.0.
Source: CVE.org (CVE Program・cvelistV5) NVD