wenxian: `issue_comment.body` के माध्यम से GitHub Actions वर्कफ़्लो (Workflow) में कमांड इंजेक्शन (Command Injection)

CVE-2026-34243 wenxian में एक भेद्यता है, जो BibTeX फ़ाइलों को उत्पन्न करने वाला एक उपकरण है, जो मनमाना कमांड निष्पादन के कारण एक गंभीर जोखिम प्रस्तुत करता है। संस्करण 0.3.1 और पहले GitHub Actions वर्कफ़्लो में issue_comment.body से अविश्वसनीय उपयोगकर्ता इनपुट को सीधे शेल कमांड में उपयोग करते हैं। यह एक हमलावर को GitHub Actions रनर वातावरण में निष्पादित करने के लिए दुर्भावनापूर्ण कमांड इंजेक्ट करने की अनुमति देता है। CVSS स्कोर 9.8 होने के कारण, गंभीरता अत्यधिक उच्च है, जिसका अर्थ है कि सफल शोषण रनर पर पूर्ण नियंत्रण प्राप्त कर सकता है, संभावित रूप से संवेदनशील डेटा से समझौता कर सकता है या आगे के हमलों को लॉन्च करने के लिए रनर का उपयोग कर सकता है। सार्वजनिक रूप से उपलब्ध पैच की कमी स्थिति को बढ़ाती है, तत्काल शमन उपायों की आवश्यकता होती है।

1. आरक्षित2026-03-26
2. प्रकाशित2026-03-31
3. संशोधित2026-04-02
4. EPSS अद्यतन2026-04-08

CVE-2026-34243 के लिए कोई आधिकारिक पैच नहीं होने के बावजूद, समाधान जारी होने तक wenxian का उत्पादन वातावरण में उपयोग करने से दृढ़ता से बचने की सिफारिश की जाती है। एक अस्थायी शमन उपाय के रूप में, आप प्रभावित GitHub Actions वर्कफ़्लो को अक्षम कर सकते हैं या इसे संशोधित कर सकते हैं ताकि शेल कमांड में issuecomment.body का प्रत्यक्ष उपयोग करने से बचा जा सके। एक विकल्प किसी भी कमांड में उपयोग करने से पहले issuecomment.body इनपुट को कड़ाई से मान्य और सैनिटाइज करना है, हालांकि यह जटिल हो सकता है और सभी संभावित इंजेक्शन को खत्म करने की गारंटी नहीं देता है। भविष्य के अपडेट के लिए wenxian रिपॉजिटरी की निगरानी करना और उपलब्ध होने पर पैच लागू करना महत्वपूर्ण है। इसके अतिरिक्त, समान अविश्वसनीय इनपुट उपयोग पैटर्न के लिए अन्य GitHub Actions वर्कफ़्लो की समीक्षा और ऑडिट करना एक अच्छी सुरक्षा प्रथा है।