Black: GitHub Actionが、pyproject.tomlファイルから検証されていない必須バージョンをインストールする。
### 概要
Blackに同梱されているGitHub Actionは、`use_pyproject`がTrueに設定されている場合、`tool.black.required-version`からバージョン情報を読み取ります。このバージョン情報は検証されておらず、そのため、攻撃者が悪意のあるコードを実行する際に、被害者のリポジトリのコンテキスト内で利用される可能性があります。
### 詳細
これは、以前のCVE-2026-31900と同様の問題です。`tool.black.required-version`に設定された値は、検証なしに、インストールされるバージョンとしてActionによって受け入れられます。
### 概念実証
この問題を再現するには、被害者がBlackのGitHub Actionを使用し、`use_pyproject`をTrueに設定する必要があります。攻撃者は、被害者のリポジトリに対してプルリクエストを送信し、Blackが攻撃者の悪意のあるリポジトリを指すように`pyproject.toml`ファイルを編集します。
### 影響
これは、psf/blackに同梱されているGitHub Actionを使用し、`use_pyproject: true`の設定を使用しているユーザーに影響を与える、リモートコード実行の脆弱性です。
影響を受けるパッケージ：
- pip (Python) black: 影響を受けるバージョンは26.10.1より前、修正されたバージョンは26.10.1。