🇰🇷 한글 설명
Postiz의 GitHub Actions 워크플로우에서 PR Docker 빌드 중 입력 검증 부족으로, 포크된 저장소에서 악의적으로 수정된 Dockerfile.dev를 포함한 PR을 통해 인증 없이 임의 코드를 실행할 수 있습니다. 공격자는 이를 통해 최고 권한(write-all)의 GITHUB_TOKEN을 탈취하여 프로젝트를 전면 장악할 수 있습니다. Commit da44801에서 패치되었습니다.
💡 쉬운 설명
Postiz 프로젝트의 자동 빌드 시스템이 외부인의 코드를 충분히 검증하지 않아서, 누구나 PR을 통해 악의적인 코드를 주입할 수 있습니다. 이를 통해 공격자는 프로젝트의 가장 중요한 접근 권한(토큰)을 도용할 수 있습니다.
🇺🇸 원문 (English)
Postiz is an AI social media scheduling tool. Prior to commit da44801, a "Pwn Request" vulnerability in the Build and Publish PR Docker Image workflow (.github/workflows/pr-docker-build.yml) allows any unauthenticated user to execute arbitrary code during the Docker build process and exfiltrate a highly privileged GITHUB_TOKEN (write-all permissions). This can be achieved simply by opening a Pull Request from a fork with a maliciously modified Dockerfile.dev. This issue has been patched via commit da44801.
📍 영향받는 시스템
Postiz (commit da44801 이전 모든 버전)
⚔️ 공격 벡터
포크된 저장소에서 악의적으로 수정된 Dockerfile.dev를 포함하는 Pull Request 생성
🛡️ 대응 방법
최신 버전(commit da44801 이상)으로 업그레이드 또는 GitHub Actions에서 untrusted PR 코드에 대한 권한 제한 설정
🔧 검증 코드
'Patched' 출력이면 취약점이 수정되었고, 'Vulnerable' 출력이면 해당 커밋 이전 버전입니다.
git log --oneline --all | grep -q da44801 && echo 'Patched' || echo 'Vulnerable'