GitHub 安全公告库 (GHSA)·2026-10-23 00:18· 3 小时前AI 评分45

Black 的 GitHub Action 从 pyproject.toml 读取未校验的 required-version，可导致远程代码执行

Black: GitHub Action installs unvalidated required-version from pyproject.toml

AI 导读

Black 捆绑的 GitHub Action 在启用 use_pyproject: true 时会读取 tool.black.required-version 并直接安装该版本，未做校验，攻击者可通过 PR 修改 pyproject.toml 指向恶意仓库，在受害者仓库上下文中执行不可信代码。