CVE-2026-123870 décrit une exécution de code Python à distance dans l’application web otterdog lorsque le secret de webhook est absent ou vide. Dans cette configuration, la vérification HMAC est entièrement ignorée et un client réseau non authentifié peut atteindre l’évaluation de l’entrée JSON.
Source : NVD — CVE-2026-123870
Analyse technique
La valeur du corps JSON du webhook contribue à une chaîne de format évaluée avec eval(); lorsque GITHUB_WEBHOOK_SECRET n’est pas configuré, l’entrée n’est pas protégée par la vérification de signature. Aucune version corrigée n’est indiquée dans le candidat fourni.
Impact, versions et correctif
Action recommandée
Configurer un secret GITHUB_WEBHOOK_SECRET non vide et mettre à niveau vers une version corrigée dès qu’elle est identifiée; ne pas exposer l’application avec la vérification de signature désactivée.
Sources
Priorisation DFS : P3 · 1 source(s).