CVE-2026-76847 in act
Сводка
по VulDB • 24.08.2026
act avvia un backend HTTP Artifacts V4 ogni volta che un workflow utilizza actions/upload-artifact@v4 o actions/download-artifact@v4. Le RPC del control-plane di tale backend, tra cui CreateArtifact, GetSignedArtifactURL, ListArtifacts, FinalizeArtifact e DeleteArtifact, accettano un caller-supplied workflow_run_backend_id senza mai verificare che appartenga al richiedente: validateRunIDV4 in pkg/artifacts/artifacts_v4.go analizza il valore e lo restituisce con il confronto rispetto all'ID di esecuzione del task richiedente lasciato commentato. Gli URL firmati emessi dal backend sono autenticati da un HMAC la cui chiave è hardcoded ai quattro byte 0xba 0xdb 0xee 0xf0, identica in ogni build, calcolata su una concatenazione di endpoint, expiry, nome dell'artifact e task ID senza length prefix o delimiter, quindi le firme sono sia forgeable che ambiguous tra coppie diverse di artifact name e task ID. Il flag --artifact-server-addr ha come default l'indirizzo outbound dell'host anziché loopback, lasciando il backend raggiungibile dalla rete circostante. Qualsiasi client in grado di raggiungerlo può leggere, sovrascrivere o eliminare gli artifacts di un job in esecuzione concorrentemente senza credenziali, esponendo i build outputs quali secrets e deployment credentials e permettendone la sostituzione prima che il job proprietario li consumi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.