Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-55158 critical CVSS 9.1

Injection de commande OS dans wktk/conflibot (CVE-2026-55158)

Résumé

Injection de commande OS dans wktk/conflibot (CVE-2026-55158). Des informations confidentielles peuvent être exposées. Exploitable via git. Atténuation : mise à jour vers 1.2.1 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

Versions of conflibot before 1.2.1 build git commands by string interpolation and run them through a shell. Several of the interpolated values are pull request branch names (head.ref), which are attacker-controlled: anyone can open a pull request (including from a fork) whose head branch name contains shell metacharacters such as `, $( ), ;, |, or &.

The recommended workflow runs conflibot on the pull_request_target event, where the job has access to the base repository's secrets and a write-scoped GITHUB_TOKEN. As a result, a crafted branch name causes arbitrary command execution on the runner with that write token in the environment, allowing an attacker to exfiltrate secrets and the token, push to the repository, or otherwise abuse the token's permissions. No special privileges and no maintainer interaction are required — the action runs automatically when the pull request is opened.

Affected configurations

Any workflow using wktk/conflibot at a version earlier than 1.2.1. The risk is highest under pull_request_target (the documented configuration), because that is where the write token and secrets are exposed to attacker-influenced refs.

Patches

Fixed in 1.2.1 and 2.0.0. All git invocations now use argument arrays via execFile/spawn instead of a shell, so branch names can no longer be interpreted as shell syntax, and pull requests are referenced by number through refs/pull//head rather than by branch name.…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-55158 a été découverte dans wktk/conflibot.
Des attaquants peuvent cibler un point d'entrée spécifique comme git à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 9.1/10.
Action : mettez à jour wktk/conflibot vers 1.2.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « wktk/conflibot CVE-2026-55158 » sur le site de l'éditeur.

CVE-2026-55158 (wktk/conflibot) — CWE-78 / CVSS v3 9.1
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : git / head.ref / pull_request_target / GITHUB_TOKEN
Correctif : 1.2.1 — appliquer immédiatement
Contournement : There is no configuration-only workaround for affected versions.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une injection de commande OS (CWE-78) affecte wktk/conflibot. Les attaquants atteignent le code vulnérable via git sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de wktk/conflibot. Surface d'attaque : git / head.ref / pull_request_target / GITHUB_TOKEN.

🔥 Gravité

Gravité : Critique (CVSS 9.1/10). Des informations confidentielles peuvent être exposées.

🔧 Comment corriger

Mettre à jour vers 1.2.1.

🛡️ Contournement

Contournement : There is no configuration-only workaround for affected versions.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'wktk/conflibot' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で wktk/conflibot を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply temporary workaround mitigate 
    There is no configuration-only workaround for affected versions.

    パッチが適用されるまでの応急処置として、There is no configuration-only workaround for affected versions. を実施。回避策の副作用 (機能低下) を確認した上で。

  3. 3
    Apply patch patch 
    Upgrade wktk/conflibot to 1.2.1

    ステージング環境で 1.2.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  4. 4
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

actions wktk/conflibot
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.2.1"}]}]
GitHub Actions wktk/conflibot
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.2.1"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus