CVE-2026-39382: dbt의 재사용 가능한 워크플로우에서 비위생화된 comment-body 출력을 통한 명령 주입 취약점 | Kitploit

CVE-2026-39382

위험게시됨

dbt의 재사용 가능한 워크플로우에서 비위생화된 comment-body 출력을 통한 명령 주입 취약점

게시됨: 2026. 4. 7.
업데이트됨: 2026. 4. 8.
CNA 할당 중: GitHub_M
증거 관찰됨: 2026. 9. 5.

기본 CVSS

9.3/ 10위험

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS 확률 추정

0.4%

낮음 · 다음 30일

백분위수: 32.8%
모델 날짜: 2026. 9. 21.

EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.

요약

dbt를 사용하면 데이터 분석가와 엔지니어가 소프트웨어 엔지니어가 애플리케이션을 구축할 때 사용하는 것과 동일한 방식으로 데이터를 변환할 수 있습니다. 재사용 가능한 워크플로우인 dbt-labs/actions/blob/main/.github/workflows/open-issue-in-repo.yml 내부에서 prep 작업은 peter-evans/find-comment를 사용하여 문서 이슈가 이미 열렸음을 나타내는 기존 댓글을 검색합니다. 그런 다음 출력된 steps.issue_comment.outputs.comment-body가 이스케이프 없이 bash if 문에 직접 삽입됩니다. comment-body는 공격자가 제어하는 텍스트이며 셸 구문에 삽입되므로, 악의적인 댓글 본문은 따옴표로 묶인 문자열을 벗어나 임의의 셸 명령을 주입할 수 있습니다. 이 취약점은 커밋 bbed8d28354e9c644c5a7df13946a3a0451f9ab9에서 수정되었습니다.

소스

gha-lab-4a8fad8536연구
보안 연구 랩으로, CVE-2026-39382(GHSA-5jxf-vmqr-5g82)를 재현합니다: dbt-labs 재사용 워크플로우 open-issue-in-repo.yml의 명령 주입으로, dbt-core 스타일의 docs-issue.yml 호출자에 의해 구동됩니다.

책임 있는 사용

귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.