CVE-2026-35580
Emissary présente une injection de commandes shell dans GitHub Actions via les entrées de workflow
- Publié
- 7 avr. 2026
- Mise à jour
- 7 avr. 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 5 sept. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 51,9 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Emissary est un moteur de flux de travail basé sur P2P et piloté par les données. Avant la version 8.39.0, les fichiers de flux de travail GitHub Actions contenaient des points d'injection shell où les entrées workflow_dispatch contrôlées par l'utilisateur étaient interpolées directement dans des commandes shell via la syntaxe d'expression ${{ }}. Un attaquant disposant d'un accès en écriture au dépôt pouvait injecter des commandes shell arbitraires, entraînant un empoisonnement du dépôt et une compromission de la chaîne d'approvisionnement affectant tous les utilisateurs en aval. Cette vulnérabilité est corrigée dans la version 8.39.0.
Sources
- gha-lab-ed7a1740c4Recherche
Laboratoire de recherche en sécurité : reproduction contrôlée de GHSA-3g6g-gq4r-xjm9 / CVE-2026-35580 (injection de commande shell via l’entrée workflow_dispatch de GitHub Actions) contre un instantané épinglé de NationalSecurityAgency/emissary
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.