CVE-2025-53104

위험게시됨

gluestack-ui의 discussion-to-slack GitHub Action 워크플로우를 통한 명령 주입 취약점

게시됨: 2025. 7. 1.
업데이트됨: 2025. 7. 1.
CNA 할당 중: GitHub_M
증거 관찰됨: 2026. 9. 4.

기본 CVSS

9.1/ 10위험

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

EPSS 확률 추정

1.2%

낮음 · 다음 30일

백분위수: 66.4%
모델 날짜: 2026. 9. 21.

EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.

요약

gluestack-ui는 Tailwind CSS(NativeWind)로 제작된 복사-붙여넣기 방식의 컴포넌트 및 패턴 라이브러리입니다. 커밋 e6b4271 이전에 discussion-to-slack.yml GitHub Actions 워크플로우에서 명령어 주입 취약점이 발견되었습니다. 신뢰할 수 없는 토론 필드(제목, 본문 등)가 run: 블록의 셸 명령어에 직접 삽입되었습니다. 공격자는 악의적인 GitHub Discussion 제목이나 본문(예: $(curl ...))을 조작하여 Actions 러너에서 임의의 셸 명령어를 실행할 수 있었습니다. 이 문제는 discussion-to-slack.yml 워크플로우가 제거된 커밋 e6b4271에서 수정되었습니다. 사용자는 이 저장소의 포크 또는 파생 버전을 사용하는 경우 discussion-to-slack.yml 워크플로우를 제거해야 합니다.

소스

gha-lab-3b0a828a69연구
보안 연구 랩으로, gluestack/gluestack-ui의 discussion-to-slack.yml에서 발생하는 CVE-2025-53104(GHSA-432r-9455-7f9x)를 재현합니다: 명령 주입 취약점

책임 있는 사용

귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.