跳到正文
热点事件持续更新

GHSA披露Black GitHub Action远程代码执行漏洞

1 篇报道1 个报道来源8 小时前更新

先了解这件事

AI 综述

GitHub安全公告库（GHSA）披露，Black捆绑的GitHub Action存在远程代码执行漏洞：当用户启用use_pyproject: true时，该Action会从pyproject.toml读取tool.black.required-version并直接安装该版本，未做校验。 攻击者可通过向受害者仓库提交PR、修改pyproject.toml将Black指向恶意仓库，从而在受害者仓库上下文中执行不可信代码。GHSA称，复现需受害者使用Black的GitHub Action并启用use_pyproject: true。

AI 根据报道生成 · 8 小时前更新

最新进展10月23日 00:18
Black 的 GitHub Action 从 pyproject.toml 读取未校验的 required-version，可导致远程代码执行

报道时间线

沿着报道，了解事件的不同侧面。

10月23日
  1. GitHub 安全公告库 (GHSA)
    Black 的 GitHub Action 从 pyproject.toml 读取未校验的 required-version，可导致远程代码执行

    Black 捆绑的 GitHub Action 在启用 use_pyproject: true 时会读取 tool.black.required-version 并直接安装该版本，未做校验，攻击者可通过 PR 修改 pyproject.toml 指向恶意仓库，在受害者仓库上下文中执行不可信代码。

本事件热度走势

可比范围当前
8
可比范围峰值
1010月23日 01:00
近 24 小时变化
–

趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。