CVE-2024-45798
严重已发布
多个毒化流水线执行（PPE）漏洞
- 已发布
- 2024年9月17日
- 已更新
- 2024年9月18日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月25日
初级CVSS
9.9/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H0.9%
低 · 未来 30 天
- 百分位
- 57.3%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
arduino-esp32 是适用于 ESP32、ESP32-S2、ESP32-S3、ESP32-C3、ESP32-C6 和 ESP32-H2 微控制器的 Arduino 内核。`arduino-esp32` 的 CI 存在多个毒化管道执行（Poisoned Pipeline Execution，PPE）漏洞。`tests_results.yml` 工作流中的代码注入（`GHSL-2024-169`）和环境变量注入（`GHSL-2024-170`）。这些问题已得到解决，但建议用户验证所下载工件的内容。
来源
1受控安全研究实验室，复现 espressif/arduino-esp32 中的 CVE-2024-45798（GHSA-h52q-xhg2-6jw8）——通过 tests_results.yml workflow_run 发起的投毒工件 pwn 请求
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。