CVE-2025-30154：多个Reviewdog Actions在特定时间段遭入侵

漏洞详情

包名: actions
受影响组件: reviewdog/action-setup (GitHub Actions)

受影响版本: = 1
已修复版本: 无

漏洞描述

概述

reviewdog/action-setup@v1 在2025年3月11日18:42至20:31 UTC期间遭到入侵，被添加了恶意代码，该代码会将暴露的密钥转储到GitHub Actions工作流日志中。

其他使用reviewdog/action-setup@v1的reviewdog actions同样受到影响，无论版本或固定方法如何：

• reviewdog/action-shellcheck
• reviewdog/action-composite-template
• reviewdog/action-staticcheck
• reviewdog/action-ast-grep
• reviewdog/action-typos

详细信息

• 恶意提交: reviewdog/action-setup@f0d342d
• 修复/重新标记版本: reviewdog/action-setup@3f401fe
• 详细报告参见Wiz Research: Wiz博客文章

技术指标

严重程度

高危 - CVSS评分8.6/10

CVSS v3基础指标

• 攻击向量: 网络
• 攻击复杂度: 低
• 所需权限: 无
• 用户交互: 无
• 范围: 已改变
• 机密性影响: 高
• 完整性影响: 无
• 可用性影响: 无

EPSS评分

17.943% (第95百分位)

弱点分类

CWE-506: 嵌入式恶意代码 - 产品包含看似具有恶意性质的代码。

参考链接

• GHSA-qmg3-hpqr-gqvc
• reviewdog/reviewdog#2079
• https://nvd.nist.gov/vuln/detail/CVE-2025-30154
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-30154

致谢

• sshayb (报告者)
• ramimac (报告者)