CVE-2026-40316
Publiée le 2026-04-15 · Dernière modification le 2026-10-26
Les installations d'OWASP BLT antérieures à la version 2.1.1 sont vulnérables à l'exécution de code à distance au sein de l'environnement CI GitHub Actions. Un contributeur externe non authentifié peut exécuter du code arbitraire et voler les secrets du dépôt en soumettant une pull request malveillante qu'un mainteneur étiquetterait ensuite pour la régénération de la migration. Comme cela nécessite qu'un mainteneur applique une étiquette spécifique à la demande, l'attaque requiert une légère interaction utilisateur pour réussir.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OWASP BLT is a QA testing and vulnerability disclosure platform that encompasses websites, apps, git repositories, and more. Versions prior to 2.1.1 contain an RCE vulnerability in the .github/workflows/regenerate-migrations.yml workflow. The workflow uses the pull_request_target trigger to run with full GITHUB_TOKEN write permissions, copies attacker-controlled files from untrusted pull requests into the trusted runner workspace via git show, and then executes python manage.py makemigrations, which imports Django model modules including attacker-controlled website/models.py at runtime. Any module-level Python code in the attacker's models.py is executed during import, enabling arbitrary code execution in the privileged CI environment with access to GITHUB_TOKEN and repository secrets. The attack is triggerable by any external contributor who can open a pull request, provided a maintainer applies the regenerate-migrations label, potentially leading to secret exfiltration, repository compromise, and supply chain attacks. A patch for this issue is expected to be released in version 2.1.1.