CVE-2026-46420

सारांश

setup-php एक GitHub action है जो PHP को extensions, php.ini कॉन्फ़िगरेशन, coverage drivers, और tools के साथ सेट अप करने के लिए उपयोग किया जाता है। 2.25.0 से 2.37.1 से पहले के संस्करणों में, shivammathur/setup-php PHP संस्करण को repository-controlled फ़ाइलों जैसे .php-version, composer.lock (platform-overrides.php के माध्यम से), और composer.json (config.platform.php के माध्यम से) से हल करता है, और उन मानों को उत्पन्न shell या PowerShell setup scripts में शामिल करने से पहले पर्याप्त रूप से प्रतिबंधित नहीं करता है, जिससे GitHub Actions runner पर command injection संभव हो जाता है जब workflows जैसे pull_request_target setup-php को आमंत्रित करने से पहले attacker-controlled सामग्री को checkout करते हैं। यह समस्या संस्करण 2.37.1 में ठीक कर दी गई है।

• CVE-2026-46420PoC

  CVE-2026-46420 के लिए PoC, shivammathur/setup-php में रिपॉजिटरी-नियंत्रित PHP संस्करण समाधान के माध्यम से कमांड इंजेक्शन।