CVE-2025-53104

总结

gluestack-ui 是一个使用 Tailwind CSS（NativeWind）制作的、可复制粘贴的组件与模式库。在提交 e6b4271 之前，discussion-to-slack.yml GitHub Actions 工作流中发现了一个命令注入漏洞。不受信任的讨论字段（标题、正文等）被直接插入到 run: 块中的 shell 命令里。攻击者可以构造恶意的 GitHub Discussion 标题或正文（例如 $(curl ...)），从而在 Actions 运行器上执行任意 shell 命令。该问题已在提交 e6b4271 中修复，其中移除了 discussion-to-slack.yml 工作流。如果使用此仓库的分支或衍生版本，用户应移除 discussion-to-slack.yml 工作流。

• gha-lab-3b0a828a69研究

  安全研究实验室，复现 CVE-2025-53104（GHSA-432r-9455-7f9x）：gluestack/gluestack-ui 的 discussion-to-slack.yml 中的命令注入漏洞