Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-829

CVE-2026-118762

Monkeytype: fork çekme isteğiyle yükseltilmiş GITHUB_TOKEN kötüye kullanımı

monkeytypegame monkeytype

Kritik 9,3 CVSS 3.1
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
6 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, yazılım projesinin otomatik geliştirme süreçlerini hedefler ve dış kişilerin proje deposunda yetkisiz değişiklik yapmasına olanak tanıyabilir. Uygulamanın kullanıcı verileri doğrudan etkilenmese de kaynak kodun bütünlüğü risk altına girer. Sürüm güncellemesi ve geliştirme süreçlerinin gözden geçirilmesi öncelikli olarak yapılmalıdır.

ÖzetTürkçe

Monkeytype'ın 26.43.0 öncesi sürümlerinde, biçimlendirme iş akışı pull_request_target tetikleyicisiyle çalışıyor ve depo yazma yetkileriyle birlikte dış katkıcının fork'undan gelen kodu, bağımlılıklarını ve biçimlendirme aracını çalıştırıyor. Bu sırada yükseltilmiş GITHUB_TOKEN, güvenilmeyen kod çalışmadan önce Git yapılandırmasında kalıyor. Bu nedenle biçimlendirme etiketi alan bir dış katkıcı, depo CI iş akışı üzerinden keyfi kod çalıştırabilir. Etkilenen taraf, Monkeytype'ı kendi depolarında CI amacıyla kullanan ekiplerdir.

Saldırgan ne yapabilir?

Saldırgan belirteci okuyup dışarı sızdırabilir, depo içeriğini değiştirebilir ve çekme isteklerini ile sorunları düzenleyebilir. Uygulamanın kendisi ve kullanıcı verileri bu sorundan etkilenmez.

Kaynaktaki açıklama (İngilizce)

Monkeytype is a minimalistic and customizable typing test. Prior to 26.43.0, the .github/workflows/fix-formatting.yml workflow runs on pull_request_target with repository write permissions, checks out a fork pull request, installs dependencies from the fork's package.json, and invokes the fork-controlled oxfmt binary. Because actions/checkout persists the elevated GITHUB_TOKEN in Git configuration until after untrusted code executes, an external contributor whose pull request receives the format label can run arbitrary code, read or exfiltrate the token, and push repository content or modify pull requests and issues. The issue affects the repository CI workflow, not the Monkeytype application or user data. This issue is fixed in version 26.43.0.

Ne yapmalı?

  1. Monkeytype'ı 26.43.0 veya daha yeni bir sürüme yükseltin; bu sürüm sorunu giderir. Üretici
  2. Dış katkıcıların çekme isteklerinde yazma yetkili iş akışlarının çalışmasını kısıtlayın; fork kodunu yazma yetkisiyle çalıştıran tetikleyicileri gözden geçirin. Genel öneri
  3. Güncellemeden önce çalışmış olabilecek iş akışı kayıtlarını ve depodaki son değişiklikleri, çekme isteklerini ve sorunları inceleyin. Genel öneri
  4. Depoya erişimi olabilecek belirteçleri ve gizli anahtarları, herhangi bir şüphe varsa yenileyin. Genel öneri

Ek önlemler

  • İş akışlarında varsayılan belirteç izinlerini en az ayrıcalık ilkesine göre sınırlayın. Genel öneri
  • Dış katkıcıların çekme isteklerinde otomatik çalıştırmayı engelleyin veya bu çalıştırmalar için manuel onay zorunluluğu getirin. Genel öneri
  • Depo değişikliklerini, dal ve sürüm hareketlerini ve iş akışı çalıştırmalarını izleyerek beklenmeyen etkinliği erken fark edin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
monkeytypegame monkeytype < 26.43.0 26.43.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.