注目★★★★★GitHub Advisory
GitHub Actions Workflowにコマンドインジェクション脆弱性 GHSA-c3xh-98xp-6qhf
30秒で把握
- 1discord-issue.yml の Issue タイトル直接展開でコマンドインジェクション確認
- 2$(whoami) をタイトルに含む Issue 作成だけで任意シェルコード実行が可能
- 3外部入力を Bash 変数に直接展開する全ワークフローが同様リスクを持つ
要約
GitHub Actions の Discord 通知ワークフロー (`discord-issue.yml`) で、Issue タイトル経由のコマンドインジェクション脆弱性 (GHSA-c3xh-98xp-6qhf) が確認された。`github.event.issue.title` を Bash 変数に直接展開するため、`$(whoami)` のようなコマンド置換構文をタイトルに含む Issue を作成するだけでシェルコードが実行される。PoC では `ISSUE_TITLE=title: runner` と評価され、任意コマンド実行が再現した。
あなたへの影響
GitHub Actions ワークフローで外部入力 (Issue タイトル・PR タイトル等) を Bash 変数に直接展開しているリポジトリは同様の脆弱性を持つ可能性がある。
推奨：対策として、環境変数経由で渡す (`echo "ISSUE_TITLE=${{ github.event.issue.title }}" >> $GITHUB_ENV`) か、`${{ env.ISSUE_TITLE }}` を使い直接埋め込みを避ける実装に修正すべき。