Veille sécuritéFrontend
P3Élevée
Avant la version 1.51.0, @zuke/core pouvait écrire des notes de résumé GitHub Actions sans appliquer le masquage des valeurs sensibles issues de `secret()`. Si un résumé contient du texte dérivé d’un secret, celui-ci peut être exposé aux personnes ayant accès à l’exécution, y compris publiquement pour un dépôt public; mettre à jour vers 1.51.0 ou ultérieur et éviter de placer des données secrètes dans les résumés avant correction.
Deno
IdentifiantCVE-2026-119290
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.51.0
Source : NVD — CVE-2026-119290
Analyse technique
Le chemin `writeJobSummary` n’appliquait pas le rédacteur utilisé pour certaines sorties console et persistées. Les exécutions hors GitHub Actions et celles sans résumé dérivé de secrets ne sont pas concernées selon la description fournie.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30; cet événement tombe dans la période demandée. La mise à jour NVD du même jour est traitée comme un doublon de cette publication, et non comme une vulnérabilité distincte.
ImpactDivulgation de credentials dans le résumé durable d’une exécution GitHub Actions aux personnes autorisées à consulter celle-ci.
Versions affectées@zuke/core antérieur à 1.51.0; exécutions GitHub Actions concernées lorsque le résumé contient du texte dérivé d’un secret
Version corrigée1.51.0
ContournementNe pas insérer de texte dérivé de secrets dans les résumés de workflow avant la mise à jour; le masquage GitHub Actions ne protège pas le fichier de résumé selon la description fournie.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-30T16:17:43.160Z
Mise à jour2026-10-30T17:17:17.970Z
Action recommandée
Mettre à jour @zuke/core vers 1.51.0 ou ultérieur et retirer des résumés tout texte dérivé de secrets.
Sources
Priorisation DFS : P3 · 1 source(s).