CVE-2024-41127: Monkeytype es vulnerable a la Ejecución de Pipeline Envenenado mediante Inyección de Código en su flujo de trabajo de GitHub ci-failure-comment.yml, lo que permite a los atacantes obtener acceso de escritura a pull-requests. | Kitploit

CVE-2024-41127

CríticoPublicado

Monkeytype es vulnerable a la Ejecución de Pipeline Envenenado mediante Inyección de Código en su flujo de trabajo de GitHub ci-failure-comment.yml, lo que permite a los atacantes obtener acceso de escritura a pull-requests.

Publicado: 2 ago 2024
Actualizado: 2 ago 2024
Asignación de CNA: GitHub_M
Evidencia observada: 30 ago 2026

CVSS primario

9,6/ 10Crítico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Estimación de probabilidad EPSS

0,9 %

Bajo · próximos 30 días

Percentil: 56,9 %
Fecha del modelo: 21 sept 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

Monkeytype es una prueba de mecanografía minimalista y personalizable. Monkeytype es vulnerable a la ejecución de canalización envenenada mediante inyección de código en su flujo de trabajo de GitHub ci-failure-comment.yml, lo que permite a los atacantes obtener acceso de escritura a solicitudes de extracción. El flujo de trabajo ci-failure-comment.yml se activa cuando se completa el flujo de trabajo de Monkey CI. Cuando se ejecute, descargará un artefacto cargado por el flujo de trabajo desencadenante y asignará el contenido del artefacto ./pr_num/pr_num.txt a la variable de flujo de trabajo steps.pr_num_reader.outputs.content. No se valida que la variable sea en realidad un número y luego se interpola en un script JS que permite a un atacante cambiar el código a ejecutar. Este problema conduce al acceso de escritura de las solicitudes de extracción. Esta vulnerabilidad se solucionó en 24.30.0.

Fuentes

gha-lab-83342297e0Investigación
Laboratorio de investigación de seguridad autorizado que reproduce CVE-2024-41127 (GHSA-wcjf-5464-4wq9): ejecución de pipeline envenenado mediante inyección de código controlada por artefactos en ci-failure-comment.yml. Instantánea de monkeytypegame/monkeytype @ deeea0f.

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.