CVE-2026-76826
Beschrijving NL
tsParticles is een TypeScript-bibliotheek voor het maken van zeer aanpasbare deeltjesanimaties. Van 4.0.0 tot 4.3.2 interpoleert de stabiele publicatieworkflow steps.release.outputs.body rechtstreeks in een echo-commando in Bash source voordat RAW_RELEASE.md wordt geschreven. Door bijdragers gecontroleerde shell-metakarakters in gegenereerde release-note-tekst kunnen daarom worden uitgevoerd wanneer een onderhouder een stabiele release start, waardoor gegenereerde artefacten of werkruimtescripts kunnen worden gewijzigd en latere releasestappen die GITHUB_TOKEN- en schrijfmachtigingen bevatten, worden beïnvloed. Dit probleem is opgelost in versie 4.3.2.
Origineel (Engels) tonen
tsParticles is a TypeScript library for creating highly customizable particle animations. From 4.0.0 until 4.3.2, the stable publish workflow interpolates steps.release.outputs.body directly into an echo command in Bash source before writing RAW_RELEASE.md. Contributor-controlled shell metacharacters in generated release-note text can therefore execute when a maintainer starts a stable release, allowing modification of generated artifacts or workspace scripts and affecting later release steps that hold GITHUB_TOKEN and write permissions. This issue is fixed in version 4.3.2.