CVE-2025-53104
gluestack-ui Vulnerabilidad de Inyección de Comandos a través del Flujo de Trabajo de GitHub Action discussion-to-slack
- Publicado
- 1 jul 2025
- Actualizado
- 1 jul 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 4 sept 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NBajo · próximos 30 días
- Percentil
- 66,4 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Gluestack-ui es una librería de componentes y patrones copiables y pegables, manipulada con Tailwind CSS (NativeWind). Antes del commit e6b4271, se descubrió una vulnerabilidad de inyección de comandos en el flujo de trabajo de GitHub Actions, que convierte la discusión en slack.yml. Campos de discusión no confiables (título, cuerpo, etc.) se interpolaban directamente en comandos de shell en un bloque `run:`. Un atacante podría crear un título o cuerpo malicioso de discusión de GitHub (p. ej., $(curl ...)) para ejecutar comandos de shell arbitrarios en el ejecutor de acciones. Este problema se solucionó en el commit e6b4271, donde se eliminó el flujo de trabajo `discussion-to-slack.yml`. Los usuarios deben eliminar el flujo de trabajo `discussion-to-slack.yml` si utilizan una bifurcación o un derivado de este repositorio.
Fuentes
1- gha-lab-3b0a828a69Investigación
Laboratorio de investigación en seguridad que reproduce CVE-2025-53104 (GHSA-432r-9455-7f9x): inyección de comandos en discussion-to-slack.yml de gluestack/gluestack-ui
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.