Lychee链接检查动作受复合动作中任意代码注入影响

漏洞详情

包名: actions
受影响版本: < 2.0.2
已修复版本: 2.0.2

在action.yml的复合动作lychee-setup中存在潜在的任意代码注入攻击漏洞。

GitHub Action变量inputs.lycheeVersion可被用来在动作上下文中执行任意代码。

1
2
3


- uses: lycheeverse/lychee@v2
  with:
    lycheeVersion: $(printenv >> $GITHUB_STEP_SUMMARY && echo "v0.16.1")

上述示例仅将所有环境变量打印到工作流摘要中，但攻击者可能利用此向量危害目标仓库的安全性，且由于动作会正常运行，攻击行为难以被察觉。

低

中等
CVSS总体评分：6.9/10

弱点: CWE-94
描述: 代码生成控制不当（代码注入）
产品使用来自上游组件的外部影响输入构建全部或部分代码段，但未中和或错误地中和可能修改预期代码段语法或行为的特殊元素。

报告者: mondeja