Descripción
El repositorio de documentación de Salty compila y despliega el sitio web docs.saltbox.dev. Antes del commit 649c9aea2daef1168eeb0415b44e65dbbde9f220, .github/workflows/trigger-pr-build.yml registra un commit no confiable de un fork en el artefacto pr_info, y el job workflow_run con secretos en .github/workflows/build-pr.yml hace checkout de ese commit antes de ejecutar pip install -r requirements.txt. Por lo tanto, un pull request desde un fork puede proporcionar un setup.py o hooks de compilación PEP 517 creados por el atacante, cuyo código de instalación se ejecuta en el workflow privilegiado del repositorio base con CF_API_TOKEN, GH_TOKEN, MKDOCS_GIT_COMMITTERS_APIKEY y un GITHUB_TOKEN con permisos de escritura, lo que permite la divulgación de secretos y un compromiso posterior. La vulnerabilidad no se debe a la protección de forks del repositorio, y la ruta demostrada requiere que el atacante controle el contenido del fork, no solo los metadatos del artefacto. Esta vulnerabilidad está corregida con el commit 649c9aea2daef1168eeb0415b44e65dbbde9f220.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- docs Afectadas: < 649c9aea2daef1168eeb0415b44e65dbbde9f220
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/saltyorg/docs/security/advisories/GHSA-wr2h-fpxm-ff4x
- Referencia en github.comgithub.com/saltyorg/docs/commit/649c9aea2daef1168eeb0415b44e65dbbde9f…
Ver el texto original en inglés (CVE.org)
Salty documentation workflow executes fork-controlled Python build hooks with deployment secrets
The Salty documentation repository builds and deploys the docs.saltbox.dev website. Prior to commit 649c9aea2daef1168eeb0415b44e65dbbde9f220, .github/workflows/trigger-pr-build.yml records an untrusted fork commit in the pr_info artifact, and the secret-bearing workflow_run job in .github/workflows/build-pr.yml checks out that commit before running pip install -r requirements.txt. A fork pull request can therefore supply attacker-authored setup.py or PEP 517 build hooks whose installation code executes in the privileged base-repository workflow with CF_API_TOKEN, GH_TOKEN, MKDOCS_GIT_COMMITTERS_APIKEY, and a write-capable GITHUB_TOKEN, allowing secret disclosure and follow-on compromise. The vulnerability is not caused by the repository-fork guard, and the demonstrated path requires attacker control of fork content rather than merely the artifact metadata. This vulnerability is fixed with commit 649c9aea2daef1168eeb0415b44e65dbbde9f220.