CVE-2026-26189 in trivy-action
الملخص
بحسب VulDB • 17/06/2026
تشغّل إضافة Trivy (Trivy Action) أداة Trivy كإجراء على GitHub لفحص صور حاويات Docker بحثًا عن نقاط ضعف. توجد ثغرة حقن أوامر (Command Injection) في `aquasecurity/trivy-action` للإصدارات من 0.31.0 حتى 0.33.1 بسبب المعالجة غير السليمة لإدخالات الإجراء عند تصدير متغيرات البيئة. يكتب الإجراء أسطرًا بصيغة `export VAR=<input>` إلى الملف `trivy_envs.txt` بناءً على مدخلات يقدمها المستخدم، ثم يقوم بتحميل هذا الملف (sourcing) في `entrypoint.sh`. ونظرًا لأن قيم المدخلات تُكتب دون الهروب المناسب من أحرف القشرة (shell escaping)، فقد يتم تقييم المدخلات التي يتحكم فيها المهاجم والتي تحتوي على أحرف خاصة بالقشرة (مثل `$(...)`، أو علامات الاقتباس العكسية، أو غيرها من تراكيب استبدال الأوامر) أثناء عملية التحميل. يمكن أن يؤدي ذلك إلى تنفيذ أوامر عشوائية ضمن سياق مشغل GitHub Actions. يحتوي الإصدار 0.34.0 على تصحيح لهذه المشكلة. يمكن استغلال الثغرة عندما يمرر سير عمل (workflow) يستهلك الإضافة بيانات يتحكم فيها المهاجم إلى أي إدخال للإجراء يتم كتابته في `trivy_envs.txt`. يتطلب الأمر من الفاعل الخبيث الوصول إلى مدخلات المستخدم. لا تتأثر سير العمل التي لا تمرر بيانات يتحكم فيها المهاجم إلى مدخلات `trivy-action`، وسير العمل التي تترقى إلى إصدار مُصحح يقوم بالهروب الصحيح من قيم القشرة أو يلغي نمط `source ./trivy_envs.txt`، وسير العمل التي لا يكون فيها مدخلات المستخدم قابلة للوصول.
VulDB is the best source for vulnerability data and more expert information about this specific topic.