PT-2026-41129
CVE-2026-46420
·
تاريخ النشر
2026-05-14
·
تاريخ التحديث
2026-08-18
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
shivammathur/setup-php من الإصدار 2.25.0 حتى 2.37.0
الوصف
يمكن حدوث حقن الأوامر عندما تقوم العملية بتحديد إصدار PHP من الملفات التي يتحكم فيها المستودع، وتدمج هذه القيم في نصوص برمجية الإعداد التي يتم إنشاؤها بلغة shell أو PowerShell دون قيود كافية. تشمل الملفات المتأثرة
.php-version وcomposer.lock (عبر platform-overrides.php) وcomposer.json (عبر config.platform.php). يمكن استغلال هذه المشكلة في سياقات موثوقة، مثل سير عمل pull request target، عندما يتم سحب محتويات المستودع التي يتحكم فيها المهاجم قبل استدعاء الإجراء، مما يسمح بتنفيذ أوامر تعسفية على مشغل GitHub Actions.التوصيات
تحديث shivammathur/setup-php إلى الإصدار 2.37.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾