Към съдържанието
Търсене

CVE-2026-35580: NationalSecurityAgency emissary, инжекция

9.1

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Emissary is a P2P based data-driven workflow engine. Prior to 8.39.0, GitHub Actions workflow files contained shell injection points where user-controlled workflow_dispatch inputs were interpolated directly into shell commands via ${{ }} expression syntax. An attacker with repository write access could inject arbitrary shell commands, leading to repository poisoning and supply chain compromise affecting all downstream users. This vulnerability is fixed in 8.39.0.

Засегнати продукти

  • NationalSecurityAgency emissary: < 8.39.0

Вид слабост

История

  • 7 април 2026 Публикувано

Други уязвимости в NationalSecurityAgency emissary

Първоизточници

CVE-2026-35580: NationalSecurityAgency emissary, инжекция | freedomonline.bg