PT-2026-80856
CVE-2026-76847
·
تاريخ النشر
2026-08-24
·
تاريخ التحديث
2026-08-25
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات nektos/act من 0.2.81 إلى 0.2.89
الوصف
يقوم البرنامج بتشغيل خادم خلفي لـ HTTP Artifacts V4 عندما تستخدم سير العمل الإجراءات actions/upload-artifact@v4 أو actions/download-artifact@v4. تقبل طلبات RPC الخاصة بمستوى التحكم، بما في ذلك ’CreateArtifact‘ و'GetSignedArtifactURL' و'ListArtifacts' و'FinalizeArtifact' و'DeleteArtifact'، قيمة
workflow run backend id التي يقدمها المتصل دون التحقق مما إذا كانت تخص الطالب أم لا. يحدث هذا لأن الدالة validateRunIDV4() الموجودة في pkg/artifacts/artifacts v4.go تقوم بتحليل القيمة ولكنها لا تجري المقارنة اللازمة مع معرّف تشغيل المهمة الطالبة. بالإضافة إلى ذلك، تتم مصادقة عناوين URL الموقعة باستخدام مفتاح HMAC مبرمج بشكل ثابت (0xba 0xdb 0xee 0xf0)، مما يجعل التوقيعات قابلة للتزوير وغامضة بين أزواج أسماء العناصر ومعرفات المهام المختلفة. بشكل افتراضي، تستخدم العلامة --artifact-server-addr عنوان المضيف الصادر بدلاً من عنوان loopback، مما يجعل الخلفية قابلة للوصول من الشبكة المحيطة. وهذا يسمح للعملاء غير المصرح لهم بقراءة أو الكتابة فوق أو حذف العناصر الخاصة بالمهام التي تعمل في وقت واحد، مما قد يؤدي إلى كشف الأسرار وبيانات اعتماد النشر.التوصيات
بالنسبة للإصدارات من 0.2.81 إلى 0.2.89، قم بربط خادم العناصر بعنوان loopback وتجنب استخدام actions/upload-artifact@v4 و actions/download-artifact@v4 حتى يتوفر تصحيح.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾