CVE-2026-83493 Exposición de secretos en flujo pull_request_target de distributed-workloads
Una falla en distributed-workloads permite a un atacante remoto enviar un pull request especialmente diseñado que el flujo pull_request_target procesa con los secretos del repositorio base, como SNYK_TOKEN, y su token de escritura por defecto. Esto podría permitir exfiltrar esos secretos, acceder sin autorización a la integración con Snyk y tomar control del repositorio.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 24
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Red Hat Red Hat OpenShift AI (RHOAI)
Versiones no especificadas.
Qué hacer
- Verificá si usás Red Hat OpenShift AI (RHOAI).
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.1 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
A flaw was found in distributed-workloads. A remote attacker could exploit a vulnerability in the pull_request_target workflow by submitting a specially crafted pull request. This workflow processes untrusted code from the pull request author while operating with the base repository's sensitive secrets, such as the SNYK_TOKEN, and its default write token. Consequently, an attacker could exfiltrate these secrets, leading to unauthorized access to the Snyk integration and potential control over the repository.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.