CVE-2025-54430

概要

dedupeは、構造化データに対してファジーマッチング、重複排除、エンティティ解決を高速に実行するために機械学習を使用するPythonライブラリです。コミット3f61e79より前のバージョンでは、`.github/workflows/benchmark-bot.yml`ワークフロー内に重大度の高い脆弱性が特定されており、`@benchmark`ボディを使用して`issue_comment`がトリガーされる可能性があります。このワークフローは、悪意のある可能性のあるアクターによって操作されたPRのブランチに対応する`${{ github.event.issue.number }}`をチェックアウトし、信頼されていないコードが実行される可能性があるため、悪用されやすい状態にあります。信頼されていないコードの実行は、このワークフローにおいてほとんどのスコープ（特にcontentsスコープ）に対して書き込み権限を持つ`GITHUB_TOKEN`の外部流出につながる可能性があり、リポジトリの乗っ取りにつながる可能性があります。これはコミット3f61e79によって修正されています。

• gha-lab-ba981941f0研究

  # CVE-2025-54430（GHSA-wrg3-xqw8-m85p）を再現するセキュリティ研究ラボ：dedupeio/dedupe における issue_comment トリガーの Benchmark Bot を介したシークレットの外部流出。dedupeio/dedupe@54ecfe77d41390da66899596834a2bde3712c966 のスナップショット。