CVE-2026-44590

总结

Sherlock 通过用户名在社交网络中搜寻社交媒体账户。在 0.16.1 之前，GitHub Actions 工作流 validate_modified_targets.yml 存在通过 pull_request_target 触发器导致的命令注入漏洞。任何 GitHub 用户都可以通过发起拉取请求在 CI 运行器上执行任意命令并窃取 GITHUB_TOKEN。无需审批、审查或合并。该漏洞已在 0.16.1 中修复。

• CVE-2026-44590PoC

  CVE-2026-44590 的概念验证漏洞利用程序，该漏洞是 Sherlock 的 GitHub Actions 工作流中的命令注入漏洞，可通过 pull_request_target 实现远程代码执行（RCE）和 GITHUB_TOKEN 泄露。