CVE-2026-114134 Black: GitHub Action installs unvalidated required-version from pyproject.toml

Description

Black is the uncompromising Python code formatter. Prior to 26.10.1, the Black GitHub Action with use_pyproject: true accepts tool.black.required-version from pyproject.toml without validating that it is a released Black version specifier. An attacker who can submit a pull request can change that field to a direct reference to attacker-controlled code, causing the workflow to install and execute the code in the victim repository's GitHub Actions context. This issue is fixed in version 26.10.1.

Exploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque

Réseau

Complexité

Faible

Prérequis d’attaque

Aucun

Privilèges requis

Faibles

Interaction

Aucune

Confidentialité

Élevé

Intégrité

Élevé

Disponibilité

Élevé

Confidentialité des autres systèmes

Aucun

Intégrité des autres systèmes

Aucun

Disponibilité des autres systèmes

Aucun

Produits et versions touchés