Salty Docs: Codeausführung über Fork-Pull-Requests in CI-Workflow

Zusammenfassung

Die GitHub-Actions-Deployment-Pipeline des Salty-Dokumentations-Repositories installiert Python-Abhängigkeiten aus einem ausgecheckten Fork-Pull-Request in einem Job, der Deployment-Secrets enthält. Ein Angreifer kann ein manipuliertes setup.py oder einen PEP-517-Build-Hook einschleusen, der mit Zugriff auf Cloudflare-, GitHub- und MkDocs-Token sowie ein schreibfähiges GITHUB_TOKEN läuft. Für die Ausnutzung genügt ein Pull-Request aus einem Fork mit präpariertem Inhalt; der CVSS-Score beträgt 10.0.

Betroffen

• Versionen vor Commit 649c9aea2daef1168eeb0415b44e65dbbde9f220 (saltyorg/docs).
• Das Sicherheitsadvisory nennt den betroffenen Bereich bis Commit d1ee8f2f90ad0143138cc69edf85679780e3154e; die Quellen unterscheiden sich bei der Grenze.
• Release-Versionsnummern: Unbekannt.
• Saltbox-Laufzeitinstallationen: keine Hinweise auf Betroffenheit.

Behoben in

• Commit 649c9aea2daef1168eeb0415b44e65dbbde9f220 (saltyorg/docs).
• Release-Version: Unbekannt.

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus PoC, automatisierbar: ja, technische Auswirkung: total.
• Das Advisory beschreibt einen funktionierenden Proof of Concept mit Abfluss von Secrets in einem Spiegel-Repository.
• Keine Hinweise auf Ausnutzung in der Praxis gefunden; laut einer Drittseite nicht im CISA-KEV-Katalog.

Unsere Empfehlung

• Falls Sie eine Kopie oder einen Fork dieser Dokumentations-Pipeline betreiben, wenden Sie Commit 649c9aea2daef1168eeb0415b44e65dbbde9f220 an.
• Prüfen Sie Ihre eigenen GitHub-Actions-Workflows: Installieren Sie in Jobs mit Secrets oder schreibfähigen Token keinen Code aus nicht vertrauenswürdigen Forks.
• Beschränken Sie die Berechtigungen von GITHUB_TOKEN, verlangen Sie eine Freigabe für Workflow-Läufe aus Forks und rotieren Sie Secrets, die solchen Jobs zugänglich waren, sofern das Muster vorhanden war.
• Geringe Relevanz für typische KMU-Umgebungen; für Saltbox-Installationen ist keine Massnahme nötig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 649c9aea2daef1168eeb0415b44e65dbbde9f220 github.com
• GitHub Security Advisory GHSA-wr2h-fpxm-ff4x github.com
• OSV record CVE-2026-55675 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:25.