CVE-2026-24480
QGIS hatte validierte RCE und Repository-Übernahme über GitHub Actions
- Veröffentlicht
- 27.01.2026
- Aktualisiert
- 27.01.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 04.09.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XNiedrig · nächste 30 Tage
- Perzentil
- 37,1 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
QGIS ist ein kostenloses, quelloffenes, plattformübergreifendes geografisches Informationssystem (GIS). Das Repository enthält einen GitHub-Actions-Workflow namens „pre-commit checks“, der vor Commit 76a693cd91650f9b4e83edac525e5e4f90d954e9 anfällig für Remote-Codeausführung und Repository-Kompromittierung war, da er den `pull_request_target`-Trigger verwendete und anschließend nicht vertrauenswürdigen Pull-Request-Code in einem privilegierten Kontext auscheckte und ausführte. Workflows, die durch `pull_request_target` ausgelöst wurden, liefen mit den Anmeldeinformationen des Basis-Repositorys und Zugriff auf Secrets. Wenn diese Workflows dann Code vom Kopf eines externen Pull-Requests (der von einem Angreifer kontrolliert worden sein könnte) auscheckten und ausführten, hätte der Angreifer beliebige Befehle mit erhöhten Rechten ausführen können. Dieses unsichere Muster wurde von GitHub und Sicherheitsforschern als Sicherheitsrisiko dokumentiert. Commit 76a693cd91650f9b4e83edac525e5e4f90d954e9 entfernte den anfälligen Code.
Quellen
- gha-lab-b16a4f3554Forschung
Sicherheitsforschungs-Labor: CVE-2026-24480 pull_request_target pre-commit RCE in qgis/QGIS (Snapshot beim verwundbaren Commit)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.