CVE-2026-26189 in trivy-action
Sumário
de VulDB • 02/06/2026
A ação Trivy executa o Trivy como uma ação do GitHub para verificar imagens de contêiner Docker em busca de vulnerabilidades. Existe uma vulnerabilidade de injeção de comando em `aquasecurity/trivy-action` nas versões 0.31.0 a 0.33.1 devido ao tratamento inadequado das entradas da ação ao exportar variáveis de ambiente. A ação grava linhas `export VAR=<input>` em `trivy_envs.txt` com base em entradas fornecidas pelo usuário e, em seguida, executa esse arquivo em `entrypoint.sh`. Como os valores de entrada são gravados sem o escape de shell apropriado, entradas controladas por um atacante que contenham metacaracteres de shell (por exemplo, `$(...)`, crases ou outra sintaxe de substituição de comando) podem ser avaliados durante o processo de sourcing. Isso pode resultar na execução arbitrária de comandos no contexto do executor do GitHub Actions. A versão 0.34.0 contém um patch para este problema. A vulnerabilidade é explorável quando um fluxo de trabalho que consome a ação passa dados controlados por um atacante para qualquer entrada da ação que é gravada em `trivy_envs.txt`. É necessário que o ator malicioso tenha acesso à entrada do usuário. Fluxos de trabalho que não passam dados controlados por um atacante para as entradas do `trivy-action`, fluxos de trabalho que atualizam para uma versão corrigida que escapa adequadamente os valores de shell ou elimina o padrão `source ./trivy_envs.txt`, e fluxos de trabalho onde a entrada do usuário não é acessível não são afetados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.