CVE-2026-76847 in act
الملخص
بحسب VulDB • 24/08/2026
يبدأ act الخادم الخلفي لـ HTTP Artifacts V4 كلما استخدمت سير العمل إجراءات upload-artifact@v4 أو download-artifact@v4. تقبل عمليات RPC الخاصة بمستوى التحكم (control-plane) لذلك الخادم، بما في ذلك CreateArtifact و GetSignedArtifactURL و ListArtifacts و FinalizeArtifact و DeleteArtifact، معرّف backend لسير عمل يورده المستخدم ولا تتحقق مطلقاً من أنه ينتمي إلى مقدم الطلب: يقوم دالة validateRunIDV4 الموجودة في pkg/artifacts/artifacts_v4.go بتحليل القيمة وإرجاعها بعد أن تم تعليق سطر المقارنة ضد معرف التشغيل (run ID) الخاص بالمهمة المقدمة. الروابط الموقعة التي يصدرها الخادم الخلفي يتم مصادقتها باستخدام HMAC whose key is hardcoded to the four bytes 0xba 0xdb 0xee 0xf0, identical in every build, computed over a concatenation of endpoint, expiry, artifact name and task ID with no length prefix or delimiter, so signatures are both forgeable and ambiguous between differing artifact name and task ID pairs. The --artifact-server-addr flag defaults to the host's outbound address rather than loopback, leaving the backend reachable from the surrounding network. Any client that can reach it may read, overwrite or delete the artifacts of a concurrently running job with no credentials, exposing build outputs such as secrets and deployment credentials and permitting their replacement before the owning job consumes them.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.