CVE-2026-76847

act, bir iş akışı actions/upload-artifact@v4 veya actions/download-artifact@v4 kullandığında bir HTTP Artifacts V4 arka ucu başlatır. Bu arka ucun CreateArtifact, GetSignedArtifactURL, ListArtifacts, FinalizeArtifact ve DeleteArtifact dahil olmak üzere kontrol düzlemi RPC'leri, çağıran tarafından sağlanan bir workflow_run_backend_id değerini kabul eder ve bunun istekte bulunan kişiye ait olup olmadığını hiçbir zaman denetlemez: pkg/artifacts/artifacts_v4.go içindeki validateRunIDV4, değeri ayrıştırır ve istekte bulunan görevin çalıştırma kimliğiyle karşılaştırması yorum satırı haline getirilmiş şekilde döndürür. Arka ucun düzenlediği imzalı URL'ler, anahtarı her derlemede aynı olan dört bayt 0xba 0xdb 0xee 0xf0 değerine sabit kodlanmış bir HMAC ile kimlik doğrulanır; bu HMAC, uç nokta, son kullanma zamanı, yapıt adı ve görev kimliğinin uzunluk öneki veya ayırıcı olmaksızın birleştirilmesi üzerinden hesaplanır, dolayısıyla imzalar hem sahtelenebilir hem de farklı yapıt adı ve görev kimliği çiftleri arasında belirsizdir. --artifact-server-addr bayrağı geri döngü adresi yerine ana makinenin giden adresini varsayılan olarak kullanır ve arka ucu çevredeki ağdan erişilebilir bırakır. Ona erişebilen herhangi bir istemci, kimlik bilgisi olmadan eşzamanlı çalışan bir görevin yapıtlarını okuyabilir, üzerine yazabilir veya silebilir; bu da sırlar ve dağıtım kimlik bilgileri gibi derleme çıktılarını açığa çıkarır ve sahibi görev bunları tüketmeden önce değiştirilmelerine olanak tanır.