CVE-2025-58178 in sonarqube-scan-action
Zusammenfassung
von VulDB • 21.05.2026
SonarQube Server und Cloud sind Lösungen zur statischen Analyse für die kontinuierliche Überprüfung der Codequalität und -sicherheit. In den Versionen 4 bis 5.3.0 wurde eine Command-Injection-Schwachstelle in der SonarQube Scan GitHub Action entdeckt, die es ermöglicht, nicht vertrauenswürdige Eingabeargumente ohne ordnungsgemäße Bereinigung zu verarbeiten. An die Action gesendete Argumente werden als Shell-Ausdrücke behandelt, was die potenzielle Ausführung beliebiger Befehle ermöglicht. Eine Korrektur wurde in der SonarQube Scan GitHub Action Version 5.3.1 veröffentlicht.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.