漏洞详情

包名: actions
受影响组件: reviewdog/action-setup (GitHub Actions)

受影响版本: = 1
已修复版本: 无

漏洞描述

概述

reviewdog/action-setup@v1 在2025年3月11日 UTC时间18:42至20:31期间遭到入侵，被添加了恶意代码，该代码会将暴露的密钥信息转储到GitHub Actions工作流日志中。

其他使用reviewdog/action-setup@v1的Reviewdog行动同样会受到波及，无论其版本或固定方法如何：

• reviewdog/action-shellcheck
• reviewdog/action-composite-template
• reviewdog/action-staticcheck
• reviewdog/action-ast-grep
• reviewdog/action-typos

详细信息

• 恶意提交: reviewdog/action-setup@f0d342d
• 修复/重新标记: 通过版本升级 reviewdog/action-setup@3f401fe
• 详细报告参见Wiz研究团队: Wiz博客文章

参考链接

• GHSA-qmg3-hpqr-gqvc
• reviewdog/reviewdog#2079
• reviewdog/action-setup@3f401fe
• reviewdog/action-setup@f0d342d
• https://www.wiz.io/blog/new-github-action-supply-chain-attack-reviewdog-action-setup
• https://nvd.nist.gov/vuln/detail/CVE-2025-30154
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-30154

安全评级

严重程度: 高危
CVSS总体评分: 8.6/10

CVSS v3基础指标

• 攻击向量: 网络
• 攻击复杂度: 低
• 所需权限: 无
• 用户交互: 无
• 范围: 已改变
• 机密性: 高
• 完整性: 无
• 可用性: 无

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N/E:H

EPSS评分

17.943% (第95百分位)

弱点分类

弱点: CWE-506
描述: 嵌入式恶意代码 - 产品包含明显具有恶意性质的代码。