CVE-2026-46420

Nome do Software Vulnerável e Versões Afetadas shivammathur/setup-php versões 2.25.0 a 2.37.0

Description Uma injeção de comando é possível quando a ação resolve a versão do PHP a partir de arquivos controlados pelo repositório e incorpora esses valores em scripts de configuração shell ou PowerShell gerados sem a devida restrição. Os arquivos afetados incluem .php-version, composer.lock (via platform-overrides.php) e composer.json (via config.platform.php). Este problema é explorável em contextos confiáveis, como o fluxo de trabalho pull request target, quando conteúdos de repositório controlados por um invasor são baixados antes da invocação da ação, permitindo a execução de comandos arbitrários no executor do GitHub Actions.

Recommendations Atualize o shivammathur/setup-php para a versão 2.37.1.