CVE-2026-47172

概要

Quest Botは、モデレーション、ユーティリティ、サポートのために構築されたオープンソースのモダンなDiscord Botです。バージョン1.0.3より前では、リポジトリには特権を持つデプロイワークフローがあり、非特権のビルドワークフローが完了した後に実行されていました。ビルドワークフローはプルリクエスト上で実行され、デプロイワークフローはトリガーとなったワークフローの`head_sha`をチェックアウトし、そのコードをDockerイメージにビルドして`latest`としてプッシュし、本番環境へのデプロイをトリガーします。攻撃者が`main`という名前のブランチからプルリクエストを開くことができた場合、デプロイワークフローの条件がPRビルドをデプロイ可能として扱い、攻撃者が制御するコミットを特権的なデプロイコンテキストでビルドする可能性があります。これにより、悪意のあるコンテナのデプロイと本番Botの侵害につながる可能性があります。この問題はバージョン1.0.3で修正されています。

• gha-lab-00d54c717d研究

  セキュリティ研究ラボ: CVE-2026-47172 (deploy.yaml における workflow_run pwn リクエスト) — duck-organization/questbot の 1903b2f 時点のフラット化スナップショット