CVE-2026-41249
高已发布
CoreShop 因不安全的 pull_request_target 配置而存在远程代码执行（RCE）漏洞
- 已发布
- 2026年6月4日
- 已更新
- 2026年6月8日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年9月7日
初级CVSS
8.2/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N0.4%
低 · 未来 30 天
- 百分位
- 37.0%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
CoreShop 是一个基于 Pimcore 增强的电子商务解决方案。在 5.0.1 至 5.1.0-beta.1 版本中，GitHub Actions 工作流（`.github/workflows/static.yml`）使用了 `pull_request_target` 触发器，但危险地检出了来自拉取请求头部的未验证代码（`ref: ${{ github.event.pull_request.head.ref }}`）。随后，它从这一不受信任的检出中执行脚本（`bin/console`）。这使得任何外部攻击者只需提交一个恶意拉取请求，即可在 GitHub Actions 运行器上实现远程代码执行（RCE）。这也被称为“Pwn Request”漏洞。截至发布时，`pull_request_target` 仍存在于该文件中。
来源
1安全研究实验室：复现 CVE-2026-41249（GHSA-q58j-g3f4-h26h）——.github/workflows/static.yml 中的 pull_request_target pwn 请求，coreshop/CoreShop@cc1e3f54 的快照
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。