CVE-2026-27938

总结

WPGraphQL 为 WordPress 站点提供 GraphQL API。在 2.9.1 版本之前，`wp-graphql/wp-graphql` 仓库包含一个 GitHub Actions 工作流（`release.yml`），该工作流通过在 `run:` shell 代码块中直接使用 `${{ github.event.pull_request.body }}`，存在操作系统命令注入漏洞。当从 `develop` 合并到 `master` 的拉取请求被合并时，PR 正文会被原样注入到 shell 命令中，从而允许在 Actions 运行器上执行任意命令。2.9.1 版本包含针对该漏洞的修复。

• gha-lab-a7f6217d26研究

  CVE-2026-27938 / GHSA-4q9f-mjxf-rx7x（GitHub Actions 发布工作流中的表达式注入）的安全研究复现——wp-graphql/wp-graphql 在 b216fe22f3a119f256511ec7353f536fee6886ac 的快照