7.4
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Skim is a fuzzy finder designed to through files, lines, and commands. The generate-files job in .github/workflows/pr.yml checks out attacker-controlled fork code and executes it via cargo run, with access to SKIM_RS_BOT_PRIVATE_KEY and GITHUB_TOKEN (contents:write). No gates prevent exploitation - any GitHub user can trigger this by opening a pull request from a fork. This vulnerability is fixed with commit bf63404ad51985b00ed304690ba9d477860a5a75.
Засегнати продукти
- skim-rs skim: < bf63404ad51985b00ed304690ba9d477860a5a75
Вид слабост
История
- 24 април 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-41414
- https://nvd.nist.gov/vuln/detail/CVE-2026-41414
- https://github.com/skim-rs/skim/security/advisories/GHSA-9g93-rxr5-xhqw
- https://github.com/skim-rs/skim/commit/bf63404ad51985b00ed304690ba9d477860a5a75
- https://drive.google.com/file/d/1Gj7ziTK42YWXYoQgTbis_rMitHR59J6F/view