Descripción
Monkeytype es una prueba de mecanografía minimalista y personalizable. En versiones anteriores a 26.43.0, el flujo de trabajo .github/workflows/fix-formatting.yml se ejecuta en pull_request_target con permisos de escritura sobre el repositorio, obtiene (checkout) un pull request proveniente de un fork, instala dependencias desde el package.json del fork e invoca el binario oxfmt controlado por el fork. Debido a que actions/checkout conserva el GITHUB_TOKEN con privilegios elevados en la configuración de Git hasta después de que se ejecuta el código no confiable, un colaborador externo cuyo pull request recibe la etiqueta format puede ejecutar código arbitrario, leer o exfiltrar el token, y enviar (push) contenido al repositorio o modificar pull requests e issues. El problema afecta al flujo de trabajo de CI del repositorio, no a la aplicación Monkeytype ni a los datos de los usuarios. Este problema está corregido en la versión 26.43.0.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- monkeytype Afectadas: < 26.43.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/monkeytypegame/monkeytype/security/advisories/GHSA-47v3-j8…
- Referencia en github.comgithub.com/monkeytypegame/monkeytype/commit/592ce1becb9b6824badc14a80…
- Referencia en github.comgithub.com/monkeytypegame/monkeytype/releases/tag/v26.43.0
Ver el texto original en inglés (CVE.org)
Monkeytype: fork PR can execute code with elevated GITHUB_TOKEN
Monkeytype is a minimalistic and customizable typing test. Prior to 26.43.0, the .github/workflows/fix-formatting.yml workflow runs on pull_request_target with repository write permissions, checks out a fork pull request, installs dependencies from the fork's package.json, and invokes the fork-controlled oxfmt binary. Because actions/checkout persists the elevated GITHUB_TOKEN in Git configuration until after untrusted code executes, an external contributor whose pull request receives the format label can run arbitrary code, read or exfiltrate the token, and push repository content or modify pull requests and issues. The issue affects the repository CI workflow, not the Monkeytype application or user data. This issue is fixed in version 26.43.0.