- Yama var
- Son 7 gün
- CWE-532
CVE-2026-119290
Zuke: Çözümlenmiş secret değerleri GITHUB_STEP_SUMMARY dosyasına açık metin olarak yazılıyor
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, bazı derleme süreçlerinde gizli kimlik bilgilerinin herkesin görebileceği bir kayıtta açıkta kalmasına neden olabilir. Etkilenen kimlik bilgileri ele geçirilirse sistemlerinize yetkisiz erişim riski doğar. Kullanıyorsanız güncellemeyi hemen planlamanız ve mevcut gizli bilgileri gözden geçirmeniz önerilir.
ÖzetTürkçe
Zuke, Deno için geliştirilmiş, kod öncelikli ve güçlü tipli bir derleme otomasyon sistemidir. 1.51.0 öncesi sürümlerde @zuke/core, reportSummary(...) ile üretilen notları, konsol ve kalıcı çalıştırma çıktısında çözümlenmiş secret değerlerini koruyan maskeleme mekanizmasını uygulamadan GITHUB_STEP_SUMMARY dosyasına yazıyor. Bu durum, gizli bilgi içeren metin özete eklenen derlemelerde kimlik bilgilerinin iş akışı çalıştırmasını görüntüleyebilen herkese açık metin olarak görünmesine yol açabilir. Herkese açık depolarda kimlik doğrulaması yapmamış görüntüleyiciler de buna dahildir.
Saldırgan ne yapabilir?
Saldırgan, iş akışı özetinde yer alan parolalar, token'lar gibi gizli bilgileri okuyarak ele geçirebilir. Özet dosyası, çalıştırma silinene kadar erişilebilir kalır.
Kaynaktaki açıklama (İngilizce)
Zuke is a code-first, strongly typed build automation system for Deno. Prior to 1.51.0, @zuke/core writes rendered reportSummary(...) notes to GITHUB_STEP_SUMMARY through writeJobSummary without applying the redactor that protects resolved secret() values in console and persisted run output. A GitHub Actions build that places secret-derived text in a summary note can publish credentials in cleartext to everyone able to view the workflow run, including unauthenticated viewers of a public repository, and the durable summary remains exposed until the run is deleted. GitHub Actions masking directives do not protect the summary file, while runs outside GitHub Actions and builds that do not summarize secret-derived text are not affected. This issue is fixed in version 1.51.0.
Ne yapmalı?
- Zuke'u 1.51.0 veya üzeri bir sürüme yükseltin. Üretici
- Derleme özetlerinde gizli bilgiden türetilmiş metin kullanılan iş akışlarını kontrol edin ve geçmiş çalıştırmaların özet kayıtlarını silin. Genel öneri
- Açığa çıktığından şüphelenilen tüm parola, token ve diğer gizli anahtarları derhal iptal edip yenileyin. Genel öneri
Ek önlemler
- Derleme özetlerine gizli değerlerin hiçbir koşulda yazılmamasını ilke olarak belirleyin. Genel öneri
- Herkese açık depolardaki iş akışı çalıştırma kayıtlarını düzenli olarak gözden geçirin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zuke-build zuke | < 1.51.0 | 1.51.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.