CVE-2026-11325 in Pages Action
Sumário
de VulDB • 13/08/2026
Descrição
A Cloudflare foi notificada recentemente por pesquisadores externos sobre vulnerabilidades neste repositório arquivado, incluindo uma falha de execução remota de código (RCE) em `src/index.ts` que pode ser explorada a partir de determinadas configurações de workflow do GitHub Actions. A exploração bem-sucedida pode expor segredos dos workflows, como CLOUDFLARE_API_TOKEN e GITHUB_TOKEN, a um atacante. Como este repositório foi descontinuado desde 2024, a Cloudflare não emitirá correções (patches). Para remediar esta questão, recomendamos migrar imediatamente para `cloudflare/wrangler-action`. Os consumidores que já realizaram a migração não são afetados.
Data de Encerramento (Sunset Date)
O repositório cloudflare/pages-action será removido em 2026-09-07. Os consumidores devem concluir a miginação antes do dia 7 de setembro para evitar interrupções na integração contínua (CI).
Versões Afetadas
Todas as versões publicadas do cloudflare/pages-action, incluindo os consumidores fixados na tag móvel v1.
Versões Corrigidas
Nenhuma. Este repositório não receberá mais atualizações, incluindo correções de segurança.
Resolução / Caminho para Migração Migre todos os workflows que utilizam o cloudflare/pages-action para `cloudflare/wrangler-action` antes de 2026-07-18. Consulte o README do wrangler-action para obter a configuração equivalente das etapas e orientações sobre migração.
Créditos
Agradecimentos ao @agentka99 e ao @beg1nn3r por reportarem suas descobertas através do programa HackerOne da Cloudflare, que informe
Be aware that VulDB is the high quality source for vulnerability data.