🇰🇷 한글 설명
wenxian 0.3.1 및 이전 버전에서 GitHub Actions 워크플로가 issue_comment.body로부터 전달된 신뢰할 수 없는 사용자 입력을 셸 명령에 직접 사용합니다. 이로 인해 명령 주입(Command Injection)이 발생할 수 있으며, 러너(Runner) 환경에서 임의의 코드가 실행될 위험이 있습니다.
💡 쉬운 설명
GitHub 이슈에 댓글을 달 때 악의적인 명령어를 포함하면, 프로그램이 이를 실행해 해커가 서버를 조종할 수 있는 보안 취약점입니다. 현재 공식적인 패치가 없으므로 주의가 필요합니다.
🇺🇸 원문 (English)
wenxian is a tool to generate BIBTEX files from given identifiers (DOI, PMID, arXiv ID, or paper title). In versions 0.3.1 and prior, a GitHub Actions workflow uses untrusted user input from issue_comment.body directly inside a shell command, allowing potential command injection and arbitrary code execution on the runner. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
wenxian version 0.3.1 and prior
⚔️ 공격 벡터
GitHub Issue의 댓글(issue_comment.body)을 통한 명령 주입(Command Injection)
🛡️ 대응 방법
사용자 입력값에 대한 검증 로직을 추가하거나, 입력값을 셸 명령에 직접 전달하지 않도록 워크플로를 수정해야 합니다.
🔧 검증 코드
명령어 실행 결과 워크플로 파일(.github/workflows/*.yml) 내에 issue_comment.body가 셸 실행 문맥에서 직접 사용되는지 확인합니다.
git clone https://github.com/wenxian-org/wenxian && cd wenxian && grep -r "issue_comment.body" .