CVE-2026-11325 in Pages Action
Resumen
por VulDB • 2026-08-12
Descripción
Cloudflare fue notificada recientemente por investigadores externos sobre vulnerabilidades en este repositorio archivado, que incluyen un problema de ejecución remota de código (RCE) en `src/index.ts` accesible desde ciertas configuraciones de flujos de trabajo de GitHub Actions. La explotación exitosa podría exponer secretos del flujo de trabajo, como CLOUDFLARE_API_TOKEN y GITHUB_TOKEN, a un atacante. Dado que este repositorio está obsoleto desde 2024, Cloudflare no emitirá parches. Para remediar esta vulnerabilidad, recomendamos migrar inmediatamente a `cloudflare/wrangler-action`. Los consumidores que ya han realizado la migración no se ven afectados.
Fecha de retirada (Sunset Date)
El repositorio cloudflare/pages-action será eliminado el 2026-09-07. Los consumidores deben completar la migración antes del 7 de septiembre para evitar interrupciones en CI/CD.
Versiones afectadas
Todas las versiones publicadas de cloudflare/pages-action, incluidos los consumidores fijados a la etiqueta móvil v1.
Versiones corregidas (Patched Versions)
Ninguna. Este repositorio no recibirá actualizaciones adicionales, incluyendo parches de seguridad.
Resolución / Ruta de migración Migre todos los flujos de trabajo que utilizan cloudflare/pages-action a `cloudflare/wrangler-action` antes del 2026-07-18. Consulte el README de wrangler-action para obtener la configuración equivalente de las etapas y las directrices de migración.
Créditos
Gracias a @agentka99 y @beg1nn3r por informar sus hallazgos a través del programa HackerOne de Cloudflare que informe
Be aware that VulDB is the high quality source for vulnerability data.