CVE-2026-25761 in Super-linter
Riassunto
di VulDB • 17/06/2026
Super-linter è una combinazione di più linter da eseguire come GitHub Action o in modalità standalone. Dalla versione 6.0.0 alla 8.3.0, la GitHub Action Super-linter è vulnerabile a command injection tramite nomi di file elaborati ad hoc. Quando questa action viene utilizzata in workflow di GitHub Actions a valle, un attaccante può inviare una pull request che introduce un file il cui nome contiene la sintassi di sostituzione di comandi shell, come $(...). Nelle versioni colpite di Super-linter, gli script di runtime possono eseguire il comando incorporato durante l'elaborazione della scoperta dei file, consentendo l'esecuzione arbitraria di comandi nel contesto del runner del workflow. Ciò può essere sfruttato per divulgare il GITHUB_TOKEN del job, a seconda di come il workflow configura i permessi. Questa vulnerabilità è risolta nella versione 8.3.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.