CVE-2026-24480

सारांश

QGIS एक मुफ्त, ओपन सोर्स, क्रॉस-प्लेटफ़ॉर्म भौगोलिक सूचना प्रणाली (GIS) है। रिपॉजिटरी में "pre-commit checks" नामक एक GitHub Actions वर्कफ़्लो शामिल है, जो commit 76a693cd91650f9b4e83edac525e5e4f90d954e9 से पहले, रिमोट कोड निष्पादन और रिपॉजिटरी समझौते के प्रति संवेदनशील था, क्योंकि यह `pull_request_target` ट्रिगर का उपयोग करता था और फिर विशेषाधिकार प्राप्त संदर्भ में अविश्वसनीय पुल रिक्वेस्ट कोड को चेक आउट और निष्पादित करता था। `pull_request_target` द्वारा ट्रिगर किए गए वर्कफ़्लो बेस रिपॉजिटरी के क्रेडेंशियल्स और सीक्रेट्स तक पहुंच के साथ चलते थे। यदि ये वर्कफ़्लो फिर बाहरी पुल रिक्वेस्ट के हेड से कोड को चेक आउट और निष्पादित करते थे (जो हमलावर द्वारा नियंत्रित हो सकता था), तो हमलावर उन्नत विशेषाधिकारों के साथ मनमाने कमांड निष्पादित कर सकता था। इस असुरक्षित पैटर्न को GitHub और सुरक्षा शोधकर्ताओं द्वारा सुरक्षा जोखिम के रूप में प्रलेखित किया गया है। Commit 76a693cd91650f9b4e83edac525e5e4f90d954e9 ने संवेदनशील कोड को हटा दिया।

• gha-lab-b16a4f3554अनुसंधान

  सुरक्षा-अनुसंधान प्रयोगशाला: CVE-2026-24480 pull_request_target pre-commit RCE in qgis/QGIS (कमजोर कमिट पर स्नैपशॉट)