Zuke : validation insuffisante d’un workflow GitHub déclenché

Veille sécuritéFrontend

P3Élevée

Avant la version 1.10.0, la vérification de workflow de @zuke/gh pouvait accepter un résultat de workflow_dispatch en se fondant seulement sur un marqueur de titre visible et copiable. Si des personnes moins fiables peuvent déclencher le workflow dans le dépôt externe, une exécution substituée peut autoriser une publication non validée ou bloquer une publication légitime; mettre à jour vers 1.10.0 ou ultérieur et vérifier les permissions de déclenchement du dépôt externe.

IdentifiantCVE-2026-119289

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.10.0

Source : NVD — CVE-2026-119289

Analyse technique

La corrélation du workflow ne vérifiait pas suffisamment l’événement, la référence ni la fenêtre de création; l’identifiant du workflow adopté pouvait persister lors de la reprise d’une compilation.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-30; cet événement tombe dans la période demandée. La mise à jour NVD du même jour est traitée comme un doublon de cette publication, et non comme une vulnérabilité distincte.

ImpactUn résultat de workflow substitué peut autoriser une publication non vérifiée ou empêcher une publication légitime.

Versions affectées@zuke/gh antérieur à 1.10.0

Version corrigée1.10.0

ContournementRéserver le droit workflow_dispatch aux acteurs de confiance équivalente au dépôt de publication jusqu’à la mise à jour.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-10-30T16:17:43.013Z

Mise à jour2026-10-30T17:13:54.187Z

Action recommandée

Mettre à jour @zuke/gh vers 1.10.0 ou ultérieur et restreindre les permissions workflow_dispatch du dépôt externe.

Sources

NVD — CVE-2026-119289

Priorisation DFS : P3 · 1 source(s).