- Son 7 gün
- CWE-78
CVE-2026-76826
tsParticles sürüm notu oluşturma ssürecinde kabuk komutu çalıştırma açığı
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, yazılım yayımlama sürecinin güvenliğini tehlikeye atabilir ve yayımlanan ürünlerin bütünlüğünü bozabilir. Etkilenen sürümleri kullanan ekipler, yayın hattına yetkisiz müdahale riskini ortadan kaldırmak için kısa sürede güncelleme yapmalıdır.
ÖzetTürkçe
tsParticles, TypeScript ile yazılmış, yüksek düzeyde özelleştirilebilen parçacık animasyonları oluşturma kütüphanesidir. 4.0.0 ile 4.3.2 arasındaki sürümlerde kararlı sürüm yayımlama iş akışı, oluşturulan sürüm notu içeriğini yazmadan önce doğrudan bir echo komutunun içine Bash kaynağı olarak yerleştirmektedir. Bu nedenle katkıda bulunanların kontrolündeki metin, bakımcı kararlı bir sürüm başlattığında kabuk karakterleri üzerinden komut çalıştırabilir.
Saldırgan ne yapabilir?
Saldırgan, sürüm sürecinde komut çalıştırarak üretilen yapıtları veya çalışma alanındaki betikleri değiştirebilir ve GITHUB_TOKEN ile yazma yetkisine sahip sonraki yayımlama adımlarını etkileyebilir.
Kaynaktaki açıklama (İngilizce)
tsParticles is a TypeScript library for creating highly customizable particle animations. From 4.0.0 until 4.3.2, the stable publish workflow interpolates steps.release.outputs.body directly into an echo command in Bash source before writing RAW_RELEASE.md. Contributor-controlled shell metacharacters in generated release-note text can therefore execute when a maintainer starts a stable release, allowing modification of generated artifacts or workspace scripts and affecting later release steps that hold GITHUB_TOKEN and write permissions. This issue is fixed in version 4.3.2.
Ne yapmalı?
- tsParticles kütüphanesini ve kararlı yayımlama iş akışını 4.3.2 veya daha yeni bir sürüme güncelleyin. Genel öneri
- Güncellemeden önce, sürüm notu metnini oluşturan ve kararlı yayımlama iş akışını çalıştıran yapılandırmaları gözden geçirin; değiştirilmiş yapıt veya betik olup olmadığını kontrol edin. Genel öneri
- Güncellemeden sonra, yayımlama iş akışının GITHUB_TOKEN yetkilerini en düşük gerekli düzeye indirin. Genel öneri
Ek önlemler
- Sürüm notu gibi katkıda bulunanlar tarafından etkilenebilen metinleri, kabuk komutlarına doğrudan gömmek yerine ortam değişkenleri veya dosya girdileri üzerinden işleyin. Genel öneri
- Yayımlama iş akışlarında yazma yetkili belirteçleri yalnızca gerekli adımlarda kullanın. Genel öneri
- Yayın sırasında oluşturulan dosyaların ve betiklerin beklenmeyen değişikliklerini izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| tsparticles | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.