CVE-2026-76826 Inyección de comandos del sistema en el flujo de publicación estable de tsParticles
El flujo de publicación estable interpola steps.release.outputs.body directamente en un comando echo en Bash antes de escribir RAW_RELEASE.md. Metacaracteres de shell controlados por contribuyentes en el texto de las notas de versión pueden ejecutarse cuando un mantenedor inicia una publicación estable, permitiendo modificar artefactos o scripts del espacio de trabajo y afectar pasos posteriores con GITHUB_TOKEN y permisos de escritura. Se corrige en la versión 4.3.2.
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 23
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
tsparticles
>= 4.0.0, < 4.3.2
Qué hacer
- Verificá si usás tsparticles y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 7.5 ALTA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioActiva
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
tsParticles is a TypeScript library for creating highly customizable particle animations. From 4.0.0 until 4.3.2, the stable publish workflow interpolates steps.release.outputs.body directly into an echo command in Bash source before writing RAW_RELEASE.md. Contributor-controlled shell metacharacters in generated release-note text can therefore execute when a maintainer starts a stable release, allowing modification of generated artifacts or workspace scripts and affecting later release steps that hold GITHUB_TOKEN and write permissions. This issue is fixed in version 4.3.2.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.