CVE-2026-55675: Injeção de código em workflow de CI da documentação Saltyorg via hooks de build Python de fork
Um workflow de CI do site Saltyorg Docs pode executar código de build escrito por um atacante, vindo de um pull request de fork, dentro de um workflow privilegiado que possui segredos de publicação. O registro classifica a falha como CWE-94, com pontuação CVSS 3.1 igual a 10, e informa correção no commit 649c9aea2daef1168eeb0415b44e65dbbde9f220. O catálogo KEV não lista esta CVE e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O repositório de documentação da Saltyorg constrói e publica o site docs.saltbox.dev. Segundo o registro, um pull request vindo de fork pode fazer o workflow privilegiado do repositório base executar código do commit do fork, o que pode expor segredos de publicação. A falha é classificada como CWE-94 (Injeção de Código) e foi corrigida no commit 649c9aea2daef1168eeb0415b44e65dbbde9f220.
Impacto
- O registro descreve a exposição de CF_API_TOKEN, GH_TOKEN, MKDOCS_GIT_COMMITTERS_APIKEY e de um GITHUB_TOKEN com permissão de escrita a código fornecido por um fork não confiável.
- O registro indica pontuação CVSS 3.1 igual a 10 (Crítica), com alto impacto em confidencialidade, integridade e disponibilidade, sem exigir privilégios nem interação do usuário.
- O registro menciona possível comprometimento posterior, mas a extensão desse risco não é descrita nas informações disponíveis.
Produtos e versões afetados
- Saltyorg Docs, em versões anteriores ao commit 649c9aea2daef1168eeb0415b44e65dbbde9f220, segundo o registro.
- O registro não informa uma versão corrigida separada; o commit de correção é o ponto de referência.
Status de exploração
O registro indica que esta CVE não está listada no catálogo KEV da CISA, por isso a exploração ativa não é confirmada por essa fonte. Nenhuma exploração confirmada aparece nas fontes consultadas. O campo SSVC do registro classifica a exploração como poc, que indica nível de prova de conceito e não é evidência de exploração em campo. Não há dados de EPSS disponíveis.
Correção e mitigação
- Confirme que o repositório de documentação contém a correção do commit 649c9aea2daef1168eeb0415b44e65dbbde9f220 ou uma revisão posterior.
- Avalie se os segredos de publicação listados no registro podem ter sido expostos e rotacione-os como medida preventiva.
- Restrinja as permissões dos tokens de workflow ao mínimo necessário para a publicação.
- Trate pull requests vindos de forks como entrada não confiável sempre que o workflow acionado tiver acesso a segredos.
Orientações de detecção
- Revise o histórico de execuções de CI de pull requests vindos de forks que acionaram workflows de build antes da correção.
- Procure alterações inesperadas em arquivos de build ou de dependências em pull requests de forks.
- Revise os logs de auditoria em busca de uso de tokens fora da atividade esperada de publicação.
Limitações das informações disponíveis
- O registro não informa se algum deploy foi afetado nem se algum segredo foi de fato exposto.
- O status da fonte é Deferred e não há pontuação EPSS disponível.
- Detalhes além do registro e do aviso e commit citados não foram verificados de forma independente.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que a CVE não está listada no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. O campo SSVC classifica a exploração como poc, que é nível de prova de conceito e não exploração confirmada em campo.
O que os mantenedores devem fazer primeiro?
Confirmar que o repositório inclui o commit 649c9aea2daef1168eeb0415b44e65dbbde9f220 ou uma revisão posterior e, em seguida, avaliar se os segredos de publicação listados podem ter sido expostos, rotacionando-os como medida preventiva.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.