Ejecución remota de código (RCE) en la plantilla de extensión de JupyterLab update-integration-tests GitHub Action
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HBajo · próximos 30 días
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
La plantilla de extensión de JupyterLab es una plantilla de "copiadora" para las extensiones de JupyterLab. Los repositorios creados usando esta plantilla con la opción `test` incluyen el flujo de trabajo `update-integration-tests.yml` que tiene una vulnerabilidad RCE. Se insta a los autores de extensiones que alojan su código en GitHub a actualizar la plantilla a la última versión. Los usuarios que realizaron cambios en `update-integration-tests.yml` aceptan la sobrescritura de este archivo y vuelven a aplicar los cambios más tarde. Es posible que los usuarios deseen deshabilitar temporalmente las acciones de GitHub mientras trabajan en la actualización. Recomendamos cambiar la base de todas las solicitudes de extracción abiertas de usuarios que no son de confianza, ya que las acciones pueden ejecutarse usando la versión de la rama "principal" en el momento en que se creó la solicitud de extracción. Es posible que los usuarios que estén actualizando desde una versión de plantilla anterior a la 4.3.0 deseen omitir los cambios propuestos en el flujo de trabajo de la versión por ahora, ya que requiere una configuración adicional.
Laboratorio de investigación de seguridad autorizado que reproduce CVE-2024-39700 / GHSA-45gq-v5wm-82wg (solicitud pwn de update-integration-tests de la plantilla de extensiones de JupyterLab)
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.