@actions/core 命令注入漏洞

CNNVD-ID编号	CNNVD-202208-3049
CVE编号	CVE-2022-35954
发布时间	2022-08-15
更新时间	2022-08-16
漏洞类型	命令注入
漏洞来源	N/A
危险等级	中危
威胁类型	N/A
厂商	N/A

漏洞介绍

@actions/core是个人开发者的npm包管理工具的核心函数。该函数用于结果、密钥、日志的配置。 @actions/core 1.9.0及之前版本存在命令注入漏洞，该漏洞源于core.exportVariable 函数使用一个众所周知的分隔符，攻击者利用该漏洞可以突破该特定变量并将值分配给其他任意变量。

漏洞补丁

目前厂商已发布升级了@actions/core 命令注入漏洞的补丁，@actions/core 命令注入漏洞的补丁获取链接： https://github.com/actions/toolkit/security/advisories/GHSA-7r3h-m5j6-3q42

参考网址

来源:CONFIRM

链接：https://github.com/actions/toolkit/security/advisories/GHSA-7r3h-m5j6-3q42
来源:MISC

链接：https://github.com/actions/toolkit/commit/4beda9cbc00ba6eefe387a937c21087ccb8ee9df

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202208-3049