react-native-bottom-tabs: GitHub Actions canary ワークフローにおける任意のコード実行により、シークレットの漏洩が発生する

この脆弱性を悪用されると、攻撃者は pull request に悪意のある preinstall スクリプトを埋め込み、特定のコメント (!canary) を投稿することで、GitHub Actions workflow をトリガーし、任意のコードを実行できます。これにより、機密情報の窃取、システムへの不正アクセス、さらにはシステム全体の制御奪取といった深刻な被害が発生する可能性があります。この脆弱性は、React Native アプリケーションを開発・利用している組織にとって、重大なセキュリティリスクとなります。攻撃者は、この脆弱性を利用して、アプリケーションのソースコードやユーザーデータを盗み出し、悪用する可能性があります。

React Native developers and organizations using the react-native-bottom-tabs library in their projects are at risk. This includes those relying on automated build pipelines and continuous integration/continuous delivery (CI/CD) systems, as the vulnerability can be exploited during the build process. Projects utilizing forked repositories or accepting pull requests from external contributors are particularly vulnerable.

• react: Examine your package.json files for suspicious preinstall scripts, especially in dependencies related to react-native-bottom-tabs.

grep 'preinstall' package.json

• github: Review your GitHub Actions workflows (.github/workflows/release-canary.yml) for improper use of pullrequesttarget event triggers. Ensure that only trusted code is executed in privileged contexts. • react: Check your project's dependencies for versions of react-native-bottom-tabs less than 0.9.3 using npm list react-native-bottom-tabs or yarn list react-native-bottom-tabs.

1. 2025-08-05Disclosure

   disclosure

1. 予約済み2025-07-25
2. 公開日2025-08-05
3. 更新日2025-08-06
4. EPSS 更新日2026-03-23

この脆弱性への主な対策は、react-native-bottom-tabs をバージョン 0.9.3 以降にアップグレードすることです。アップグレードが困難な場合は、GitHub Actions workflow の設定を見直し、pullrequesttarget イベントトリガーの使用を避けるように修正してください。また、WAF (Web Application Firewall) やプロキシサーバーを使用して、悪意のある pull request からのコード実行をブロックすることも有効です。ワークフローのログを監視し、不審なアクティビティを検出することも重要です。