🇰🇷 한글 설명
gluestack-ui의 GitHub Actions 워크플로우(discussion-to-slack.yml)에서 사용자 입력값이 검증 없이 셸 명령어에 직접 삽입되는 명령 인젝션 취약점이 발견되었습니다. 공격자는 GitHub Discussion의 제목이나 본문에 악의적인 셸 명령어(예: $(curl ...))를 삽입하여 Actions 러너에서 임의의 코드를 실행할 수 있습니다. 해당 워크플로우 파일이 제거되어 이미 패치되었습니다.
💡 쉬운 설명
GitHub에서 자동으로 실행되는 작업 스크립트가 사용자가 입력한 텍스트를 검증하지 않고 실행하면서, 공격자가 악의적인 명령어를 몰래 실행시킬 수 있는 문제입니다. 이 문제는 취약한 스크립트를 완전히 삭제함으로써 해결되었습니다.
🇺🇸 원문 (English)
gluestack-ui is a library of copy-pasteable components & patterns crafted with Tailwind CSS (NativeWind). Prior to commit e6b4271, a command injection vulnerability was discovered in the discussion-to-slack.yml GitHub Actions workflow. Untrusted discussion fields (title, body, etc.) were directly interpolated into shell commands in a run: block. An attacker could craft a malicious GitHub Discussion title or body (e.g., $(curl ...)) to execute arbitrary shell commands on the Actions runner. This issue has been fixed in commit e6b4271 where the discussion-to-slack.yml workflow was removed. Users should remove the discussion-to-slack.yml workflow if using a fork or derivative of this repository.
📍 영향받는 시스템
gluestack-ui commit e6b4271 이전 버전의 discussion-to-slack.yml 워크플로우를 사용하는 모든 포크/파생 저장소
⚔️ 공격 벡터
GitHub Discussion 제목/본문에 $(command) 형태의 셸 명령어를 주입하여 Actions 러너에서 코드 실행
🛡️ 대응 방법
.github/workflows/discussion-to-slack.yml 파일 삭제 또는 사용 중지
🔧 검증 코드
VULNERABLE이 출력되면 취약한 워크플로우 파일이 존재하므로 즉시 삭제 필요, PATCHED이면 안전
test -f .github/workflows/discussion-to-slack.yml && echo 'VULNERABLE' || echo 'PATCHED'