CVE-2026-76847 in act
Sumário
de VulDB • 24/08/2026
O act inicia um backend HTTP Artifacts V4 sempre que um workflow utiliza actions/upload-artifact@v4 ou actions/download-artifact@v4. As RPCs do plano de controle desse backend, incluindo CreateArtifact, GetSignedArtifactURL, ListArtifacts, FinalizeArtifact e DeleteArtifact, aceitam um caller-supplied workflow_run_backend_id (workflow_run_backend_id fornecido pelo chamador) e nunca verificam se ele pertence ao solicitante: validateRunIDV4 em pkg/artifacts/artifacts_v4.go analisa o valor e retorna-o com a comparação contra o run ID da tarefa que solicita deixada comentada. As URLs assinadas emitidas pelo backend são autenticadas por um HMAC cuja chave é hardcoded (codificada fixamente) para os quatro bytes 0xba 0xdb 0xee 0xf0, idêntica em todas as builds, calculada sobre uma concatenação de endpoint, expiry (expiração), nome do artifact e task ID sem prefixo de comprimento ou delimitador, portanto, as assinaturas são tanto forgeable (forjáveis) quanto ambiguous (ambíguas) entre pares diferentes de nome de artifact e task ID. A flag --artifact-server-addr tem como padrão o endereço outbound (de saída) do host em vez de loopback, deixando o backend acessível a partir da rede circundante. Qualquer cliente que possa alcançá-lo pode ler, sobrescrever ou excluir os artifacts de um job executado simultaneamente sem credenciais, expondo outputs de build como segredos e credentials de deployment (implantação) e permitindo sua substituição antes que o job proprietário os consuma.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.