一、 漏洞 CVE-2025-54430 基础信息
漏洞信息
                                        # Dedupe 通过 issue_comment 泄露秘密

## 概述

dedupe 是一个用于对结构化数据进行模糊匹配、去重和实体解析的 Python 库。在提交 **3f61e79** 之前，其 GitHub Actions 工作流中存在一个高危安全漏洞。

## 影响版本

未包含提交 `3f61e79` 的所有版本均受影响。

## 细节

漏洞存在于 `.github/workflows/benchmark-bot.yml` 工作流中，该工作流在接收到包含 `@benchmark` 内容的 issue_comment 事件时会被触发。

- 该工作流使用 `${{ github.event.issue.number }}` 作为分支名进行代码检出。
- 如果 issue 或 PR 由恶意用户控制，则可能诱导工作流检出并执行恶意分支中的代码。
- 此工作流使用的 `GITHUB_TOKEN` 具有广泛写权限（尤其是 `contents` 权限）。

## 影响

攻击者可在受影响的仓库中执行任意代码，进而窃取 `GITHUB_TOKEN`，并利用该令牌实现对仓库的完全控制，包括修改代码、删除内容或篡改配置。

## 修复

该漏洞已通过提交 `3f61e79` 修复，移除了可被利用触发执行未经验证分支代码的逻辑。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
dedupe is vulnerable to secret exfiltration via `issue_comment`
来源：美国国家漏洞数据库 NVD
漏洞描述信息
dedupe is a python library that uses machine learning to perform fuzzy matching, deduplication and entity resolution quickly on structured data. Before commit 3f61e79, a critical severity vulnerability has been identified within the .github/workflows/benchmark-bot.yml workflow, where a issue_comment can be triggered using the @benchmark body. This workflow is susceptible to exploitation as it checkout the ${{ github.event.issue.number }}, which correspond to the branch of the PR manipulated by potentially malicious actors, and where untrusted code may be executed. Running untrusted code may lead to the exfiltration of GITHUB_TOKEN, which in this workflow has write permissions on most of the scopes - in particular the contents one - and could lead to potential repository takeover. This is fixed by commit 3f61e79.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
OS命令中使用的特殊元素转义处理不恰当(OS命令注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
Dedupe Python Library 操作系统命令注入漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Dedupe Python Library是Dedupe.io开源的一个用于精确和可扩展的模糊匹配、去重的Python库。 Dedupe Python Library 存在操作系统命令注入漏洞，该漏洞源于.github/workflows/benchmark-bot.yml工作流中issue_comment触发执行不受信任代码，可能导致GITHUB_TOKEN泄露。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-54430 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-54430 的情报信息
四、漏洞 CVE-2025-54430 的评论

暂无评论

发表评论