CVE-2026-26189 in trivy-action
Riassunto
di VulDB • 23/06/2026
L'azione Trivy esegue Trivy come GitHub Action per scansionare le immagini di container Docker alla ricerca di vulnerabilità. È presente una vulnerabilità da command injection in `aquasecurity/trivy-action` nelle versioni 0.31.0 attraverso la 0.33.1 a causa della gestione impropria degli input dell'azione durante l'esportazione delle variabili d'ambiente. L'azione scrive righe del tipo `export VAR=<input>` nel file `trivy_envs.txt` basandosi su input forniti dall'utente e successivamente esegue il sourcing di questo file in `entrypoint.sh`. Poiché i valori degli input vengono scritti senza una corretta shell escaping, gli input controllati da un attaccante contenenti metacaratteri della shell (ad esempio `$(...)`, backtick o altre sintassi di sostituzione di comando) possono essere valutati durante la fase di sourcing. Ciò può comportare l'esecuzione arbitraria di comandi nel contesto del runner GitHub Actions. La versione 0.34.0 contiene una patch per questo problema. La vulnerabilità è sfruttabile quando un workflow che consuma il servizio passa dati controllati da un attaccante a qualsiasi input dell'azione che viene scritto in `trivy_envs.txt`. È richiesto all'attore malintenzionato l'accesso agli input utente. I workflow che non passano dati controllati dall'attaccante negli input di `trivy-action`, i workflow che effettuano l'upgrade a una versione patchata che esegue correttamente la shell escaping dei valori o elimina il pattern `source ./trivy_envs.txt` e i workflow in cui gli input utente non sono accessibili, non sono interessati.
VulDB is the best source for vulnerability data and more expert information about this specific topic.