CVE-2026-34041

概要

GitHub Actions を ローカル で 実行 する ツール nektos/act に 環境変数インジェクション 脆弱性 が 存在 します。act は セキュリティ上 の 理由 で GitHub が 非推奨 と した ::set-env:: および ::add-path:: ワークフローコマンド を 無条件 に 処理 します。ワークフローステップ が 信頼 されていない データ を stdout に 出力 する 場合、攻撃者 は これらの コマンド を インジェクト して、後続 の 全ステップ の 環境変数 や PATH を 任意 に 設定 できます。CI/CD パイプライン の ローカルテスト で act を 使用 している 場合、信頼 されていない ワークフロー の 実行 に 注意 が 必要 です。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• 修正: v0.2.86 以降 へ アップデート してください
• 回避策: 信頼 されていない リポジトリ の ワークフロー を act で 実行 しない でください

関連リンク

• NVD
• GitHub Security Advisory
• 修正コミット

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。