CVE-2026-76847

workflow tərəfindən actions/upload-artifact@v4 və ya actions/download-artifact@v4 istifadə edildikdə act bir HTTP Artifacts V4 backend-i başladır. Həmin backend-in CreateArtifact, GetSignedArtifactURL, ListArtifacts, FinalizeArtifact və DeleteArtifact daxil olmaqla control-plane RPC-ləri çağırıcı tərəfindən təqdim edilən workflow_run_backend_id parametrini qəbul edir və onun sorğu göndərən şəxsə məxsus olduğunu heç vaxt yoxlamır: pkg/artifacts/artifacts_v4.go faylındakı validateRunIDV4 funksiyası dəyəri analiz edir və onu qaytarır, lakin sorğu göndərən tapşırığın run ID-si ilə müqayisə hissəsi şərhə alınmış vəziyyətdə qalır. Backend tərəfindən təqdim edilən imzalanmış URL-lər, açarı hər bir build üçün eyni olan və sabit şəkildə 0xba 0xdb 0xee 0xf0 dörd baytına təyin edilmiş HMAC vasitəsilə autentifikasiya edilir; bu imza uzunluq prefiksi və ya ayırıcı olmadan endpoint, vaxtın bitmə tarixi, artefakt adı və tapşırıq ID-sinin birləşməsi üzərində hesablanır, buna görə də imzalar həm saxtalaşdırıla bilər, həm də fərqli artefakt adı və tapşırıq ID cütlükləri arasında qeyri-müəyyənlik yaradır. --artifact-server-addr bayrağı standart olaraq loopback ünvanı əvəzinə hostun çıxış ünvanına təyin edilir ki, bu da backend-i ətraf şəbəkədən əlçatan edir. Ona çata bilən hər hansı bir klient, heç bir etibernamə olmadan eyni vaxtda işləyən tapşırığın artefaktlarını oxuya, üzərinə yaza və ya silə bilər; bu isə sirlər və yerləşdirmə etibernamələri kimi build nəticələrinin ifşa olunmasına və sahib olan tapşırıq onları istifadə etməzdən əvvəl onların dəyişdirilməsinə şərait yaradır.