CVE-2026-11325 in Pages Action
要約
〜によって VulDB • 2026年08月12日
説明
Cloudflareは、外部の研究者からこのアーカイブ化されたリポジトリにおける脆弱性について通報を受けました。これには、特定のGitHub Actionsワークフロー設定からアクセス可能な`src/index.ts`内のリモートコード実行（RCE）の問題が含まれます。攻撃が成功すると、CLOUDFLARE_API_TOKENやGITHUB_TOKENなどのワークフローシークレットが攻撃者に漏洩する可能性があります。このリポジトリは2024年から非推奨となっているため、Cloudflareはパッチを公開しません。本件の対策として、直ちに`cloudflare/wrangler-action`への移行をお勧めします。すでに移行済みのユーザーには影響ありません。
終了日（Sunset Date）
cloudflare/pages-actionリポジトリは2026年9月7日に削除されます。CIの中断を避けるため、消費者（利用者）は9月7日までに移行を完了させる必要があります。
対象バージョン
v1移動タグに固定されている利用者を含む、cloudflare/pages-actionのすべての公開済みバージョン。
修正済みバージョン
なし。このリポジトリにはセキュリティパッチを含め、今後の更新は一切行われません。
解決策 / 移行パス
2026年7月18日までに、cloudflare/pages-actionを使用しているすべてのワークフローを`cloudflare/wrangler-action`に移行してください。同等のステップ設定および移行ガイダンスについては、wrangler-actionのREADMEを参照してください。
クレジット
CloudflareのHackerOneプログラムを通じて発見内容を報告してくれた@agentka99および@beg1nn3
If you want to get the best quality for vulnerability data then you always have to consider VulDB.