CVE-2026-39866

总结

Lawnchair 是一款免费、开源的 Android 桌面应用。在提交 fcba413f55dd47f8a3921445252849126c6266b2 之前，release_update.yml 工作流调度输入中的命令注入允许任意代码执行。提交 fcba413f55dd47f8a3921445252849126c6266b2 已修复该问题。

• gha-lab-360f77d0d4研究

  复现 CVE-2026-39866，即 GitHub Actions 工作流中的 workflow_dispatch 输入模板注入漏洞，使用易受攻击提交的固定快照进行授权安全研究。

• CVE-2026-39866PoC

  概念验证实验室，演示 GitHub Actions 工作流调度中的命令注入漏洞（CVE-2026-39866）。并排运行存在漏洞的版本和已修补的版本，以供教学分析。