CVE-2026-11325 in Pages Action
Tóm tắt
Bởi VulDB • 12/08/2026
Mô tả
Cloudflare gần đây đã nhận được thông báo từ các nhà nghiên cứu bên ngoài về các lỗ hổng bảo mật trong kho lưu trữ (repository) này, bao gồm một vấn đề thực thi mã từ xa (Remote Code Execution - RCE) trong `src/index.ts`, có thể truy cập được từ cấu hình của quy trình làm việc GitHub Actions nhất định. Việc khai thác thành công có thể khiến các bí mật của quy trình làm việc như CLOUDFLARE_API_TOKEN và GITHUB_TOKEN bị lộ cho kẻ tấn công. Vì kho lưu trữ này đã ngừng hoạt động (deprecated) kể từ năm 2024, Cloudflare sẽ không phát hành bản vá. Để khắc phục sự cố này, chúng tôi khuyến nghị di chuyển ngay sang `cloudflare/wrangler-action`. Những người tiêu dùng đã di chuyển trước đó thì không bị ảnh hưởng.
Ngày kết thúc hỗ trợ (Sunset Date)
Kho lưu trữ cloudflare/pages-action sẽ bị xóa vào ngày 07/09/2026. Người tiêu dùng phải hoàn tất việc di chuyển trước ngày 7 tháng 9 để tránh gián đoạn quy trình CI.
Các phiên bản bị ảnh hưởng
Tất cả các phiên bản đã phát hành của cloudflare/pages-action, bao gồm những người tiêu dùng đang khóa (pin) vào thẻ v1.
Các phiên bản đã vá
Không có. Kho lưu trữ này sẽ không nhận thêm bất kỳ cập nhật nào, kể cả các bản vá bảo mật.
Giải pháp / Lộ trình di chuyển Di chuyển tất cả quy trình làm việc sử dụng cloudflare/pages-action sang `cloudflare/wrangler-action` trước ngày 18/07/2026. Vui lòng tham khảo README của wrangler-action để biết cấu hình bước tương đương và hướng dẫn di chuyển.
Ghi nhận công lao (Credit)
Cảm ơn @agentka99 và @beg1nn3r đã báo cáo các phát hiện của họ thông qua chương trình HackerOne của Cloudflare,
If you want to get the best quality for vulnerability data then you always have to consider VulDB.