CVE-2026-67308
KrytyczneCVSS 10.0Streszczenie
Workflows Wazuh przed commit 44bf114 zawierają podatność na wstrzyknięcie poleceń powłoki w GitHub Actions, która umożliwia atakującym wykonanie dowolnych poleceń poprzez przesłanie pull requestów ze spreparowanymi plikami VERSION.json. Atakujący mogą wstrzyknąć metaznaki powłoki do zmiennych środowiskowych, które są bezpośrednio interpolowane w krokach run, umożliwiając wykonanie poleceń i eksfiltrację sekretów, w tym GITHUB_TOKEN i poświadczeń AWS na samoobsługowych runnerach.
Ocena ryzyka
Ryzyko obejmuje wykonanie dowolnych poleceń i kradzież poufnych danych, takich jak tokeny i poświadczenia, co może prowadzić do naruszenia bezpieczeństwa repozytorium i infrastruktury.
Rekomendacja
Należy zaktualizować workflows Wazuh do wersji zawierającej commit 44bf114 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Wazuh workflows before 44bf114 contain a shell injection vulnerability in GitHub Actions that allows attackers to execute arbitrary commands by submitting pull requests with crafted VERSION.json files. Attackers can inject shell metacharacters into environment variables that are directly interpolated into run steps, enabling command execution and exfiltration of secrets including GITHUB_TOKEN and AWS credentials on self-hosted runners.