CVE-2026-39382

सारांश

dbt डेटा विश्लेषकों और इंजीनियरों को उन्हीं प्रथाओं का उपयोग करके अपने डेटा को बदलने में सक्षम बनाता है जिनका उपयोग सॉफ्टवेयर इंजीनियर एप्लिकेशन बनाने के लिए करते हैं। पुन: प्रयोज्य वर्कफ़्लो dbt-labs/actions/blob/main/.github/workflows/open-issue-in-repo.yml के अंदर, prep जॉब किसी मौजूदा टिप्पणी को खोजने के लिए peter-evans/find-comment का उपयोग करता है जो यह दर्शाती है कि docs समस्या पहले ही खोली जा चुकी है। फिर आउटपुट steps.issue_comment.outputs.comment-body को सीधे bash if स्टेटमेंट में इंटरपोलेट किया जाता है। चूंकि comment-body हमलावर-नियंत्रित टेक्स्ट है और इसे बिना एस्केपिंग के शेल सिंटैक्स में डाला जाता है, एक दुर्भावनापूर्ण टिप्पणी बॉडी उद्धृत स्ट्रिंग से बाहर निकलकर मनमाने शेल कमांड इंजेक्ट कर सकती है। यह भेद्यता कमिट bbed8d28354e9c644c5a7df13946a3a0451f9ab9 के साथ ठीक की गई है।

• gha-lab-4a8fad8536अनुसंधान

  सुरक्षा-अनुसंधान प्रयोगशाला जो CVE-2026-39382 (GHSA-5jxf-vmqr-5g82) को पुनरुत्पादित करती है: dbt-labs पुन: प्रयोज्य वर्कफ़्लो open-issue-in-repo.yml में कमांड इंजेक्शन, जो dbt-core-शैली docs-issue.yml कॉलर द्वारा संचालित है