ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
Filecoin Pin هو تنفيذ لواجهة برمجة تطبيقات خدمة تثبيت IPFS التي تقوم بالتثبيت على خدمة PDP الخاصة بـ Filecoin. قبل الإصدار 1.1.0، يقوم اكتشاف التفرع لإجراء التحميل في `upload-action /src /build.js` بالتحقق فقط من `event.pull_request`. في نمط مسار العمل الثنائي المُوثق، ينتج عن مسار عمل طلب سحب التفرع غير الموثوق به أداة مساعدة ويقوم مسار عمل `workflow_run` الممتاز بتنزيلها وتحميلها. نظرًا لأن `workflow_run` ليس لديه `event.pull_request`، يصبح `isForkPR` خطأ (false) و`uploadStatus` يصبح `pending-upload`. يقوم الإجراء لاحقًا بحل `workflow_run.pull_requests` دون تكرار فحص التفرع قبل تهيئة المحفظة باستخدام `walletPrivateKey` وتحميل الأداة المساعدة. لذلك، يمكن لمساهم خارجي التسبب في تخزين الأدوات المساعدة التي يتحكم فيها المهاجم باستخدام محفظة Filecoin الخاصة بمالك المستودع، مما يتكبد نفقات تخزين غير مصرح بها، وتلوث مجموعة البيانات، واستهلاك أموال المحفظة التي تم تكوينها. الكشف عن المفتاح الخاص للمحفظة غير مطلوب. خط إجراءات 0.x لا يتلقى تحديثاً خلفياً ويجب ترحيله إلى إصدار 1.x ثابت. تم إصلاح هذه المشكلة في الإصدار 1.1.0.
المعالجة
المراجع
- مرجعhttps://github.com/filecoin-project/filecoin-pin/commit/6fb9efd1796e64a3515dffaa45b262e03cbd197c
- مرجعhttps://github.com/filecoin-project/filecoin-pin/pull/588
- مرجعhttps://github.com/filecoin-project/filecoin-pin/security/advisories/GHSA-4rpx-vcp4-863j
- مرجعhttps://github.com/filecoin-project/filecoin-pin/tree/v1.1.0