CVE-2025-54430
dedupe عرضة لسرقة الأسرار عبر issue_comment
- تم النشر
- 30/07/2025
- محدث
- 30/07/2025
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 04/09/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 26.2%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
dedupe هي مكتبة بايثون تستخدم التعلم الآلي لإجراء المطابقة التقريبية، وإزالة التكرار، وحل الكيانات بسرعة على البيانات المنظمة. قبل الالتزام 3f61e79، تم تحديد ثغرة أمنية حرجة داخل سير العمل `.github/workflows/benchmark-bot.yml`، حيث يمكن تشغيل `issue_comment` باستخدام نص `@benchmark`. هذا السير العمل عرضة للاستغلال لأنه يقوم بسحب `${{ github.event.issue.number }}`، والذي يتوافق مع فرع طلب السحب الذي تم التلاعب به من قبل جهات خبيثة محتملة، وحيث قد يتم تنفيذ كود غير موثوق. قد يؤدي تنفيذ كود غير موثوق إلى تسريب `GITHUB_TOKEN`، الذي يمتلك في هذا السير العمل صلاحيات كتابة على معظم النطاقات - ولا سيما نطاق المحتويات - وقد يؤدي إلى استيلاء محتمل على المستودع. تم إصلاح هذا من خلال الالتزام 3f61e79.
المصادر
- gha-lab-ba981941f0البحث
مختبر أبحاث أمني يعيد إنتاج CVE-2025-54430 (GHSA-wrg3-xqw8-m85p): تسريب الأسرار عبر Benchmark Bot المُفعَّل عبر issue_comment في dedupeio/dedupe. لقطة من dedupeio/dedupe@54ecfe77d41390da66899596834a2bde3712c966.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.