CVE-2025-46820

概要

phpgt/Dom は、最新の DOM API へのアクセスを提供します。4.1.8 より前のバージョンの phpgt/Dom は、Dom ワークフローの実行アーティファクト内に GITHUB_TOKEN を公開します。ci.yml ワークフローファイルは、actions/upload-artifact@v4 を使用してビルドアーティファクトをアップロードします。このアーティファクトは現在のディレクトリの zip であり、実行の GITHUB_TOKEN を含む自動生成された .git/config ファイルが含まれます。アーティファクトはワークフローの終了前にダウンロードできるため、攻撃者がアーティファクトからトークンを抽出し、GitHub API で使用して悪意のあるコードをプッシュしたり、リポジトリ内のリリースコミットを書き換えたりできる数秒間のウィンドウが存在します。リポジトリの下流のユーザーは影響を受ける可能性がありますが、トークンはワークフロー実行の期間中のみ有効であるため、悪用が可能な時間は限られています。バージョン 4.1.8 でこの問題は修正されています。

• gha-lab-fb6df3d456研究

  認可されたセキュリティ研究ラボによるCVE-2025-46820（GHSA-cwj7-6v67-2cm4）の再現：phpgt/DomにおいてGITHUB_TOKENが公開ダウンロード可能なCIアーティファクトに永続化される問題。phpgt/Dom @ b73d7e8のスナップショット。