CVE-2026-58412

Nome do Software Vulnerável e Versões Afetadas Filecoin Pin versões anteriores a 1.1.0

Descrição Na GitHub Action de upload, o mecanismo de detecção de fork em upload-action/src/build.js verifica apenas event.pull request. Em um padrão de dois fluxos de trabalho, um fluxo workflow run privilegiado pode baixar e fazer o upload de um artefato produzido por um fluxo de pull-request de fork não confiável. Como o workflow run não possui event.pull request, a variável isForkPR torna-se falsa e o uploadStatus torna-se pending-upload. A ação posteriormente resolve workflow run.pull requests sem repetir a verificação de fork antes de inicializar a carteira com walletPrivateKey e fazer o upload do artefato. Consequentemente, um contribuidor externo pode fazer com que artefatos controlados pelo invasor sejam armazenados usando a carteira Filecoin do proprietário do repositório, resultando em gastos de armazenamento não autorizados, poluição do conjunto de dados e consumo de fundos da carteira configurada. A divulgação da chave privada da carteira não é necessária.

Recomendações Atualize o Filecoin Pin para a versão 1.1.0 ou posterior. Migre da linha de ação 0.x para uma versão corrigida da linha 1.x.