CVE-2026-39382

总结

dbt 使数据分析师和工程师能够使用软件工程师构建应用程序的相同实践来转换数据。在可复用工作流 dbt-labs/actions/blob/main/.github/workflows/open-issue-in-repo.yml 中，prep 作业使用 peter-evans/find-comment 来搜索指示文档问题已打开的现有评论。随后，输出 steps.issue_comment.outputs.comment-body 被直接插入到 bash if 语句中。由于 comment-body 是攻击者可控的文本，并且未经转义即被插入到 shell 语法中，恶意评论正文可以突破引号字符串并注入任意 shell 命令。此漏洞已在提交 bbed8d28354e9c644c5a7df13946a3a0451f9ab9 中修复。

• gha-lab-4a8fad8536研究

  安全研究实验室，复现 CVE-2026-39382（GHSA-5jxf-vmqr-5g82）：dbt-labs 可复用工作流 open-issue-in-repo.yml 中的命令注入，由 dbt-core 风格的 docs-issue.yml 调用方驱动。