CVE-2026-119289
Beschrijving NL
Zuke is een code-eerst, sterk getypeerd build-automatiseringssysteem voor Deno. Vóór 1.10.0 correleert de @zuke/gh githubWorkflow(...) -poort een verzonden workflowrun met alleen een display-titelmarkering die zichtbaar is in de lijst met workflowruns en door een andere dispatcher kan worden gekopieerd. In configuraties waar de externe workflow repository workflow_dispatch toestemming verleent aan een partij die niet even vertrouwd is door de release repository, kan een aanvaller een run met de marker verzenden en ervoor zorgen dat de gate zijn conclusie overneemt zonder het gebeurtenis-, ref- of aanmaakvenster te verifiëren. Een passerende gesubstitueerde run kan een niet-gevalideerde release autoriseren, terwijl een mislukte of geannuleerde run een geldige release kan blokkeren, en de hardnekkig aangenomen run-ID behoudt de vervanging tijdens de build-cv. Dit probleem is opgelost in versie 1.10.0.
Origineel (Engels) tonen
Zuke is a code-first, strongly typed build automation system for Deno. Prior to 1.10.0, the @zuke/gh githubWorkflow(...) gate correlates a dispatched workflow run using only a display-title marker that is visible in the workflow run list and can be copied by another dispatcher. In configurations where the external workflow repository grants workflow_dispatch permission to a party not equally trusted by the releasing repository, an attacker can dispatch a run with the marker and cause the gate to adopt its conclusion without verifying the event, ref, or creation window. A passing substituted run can authorize an unvalidated release, while a failed or cancelled run can block a valid release, and the persisted adopted run ID preserves the substitution across build resume. This issue is fixed in version 1.10.0.