CVE-2026-34041：act环境变量注入漏洞（≤0.2.86）

CVE-2026-34041 漏洞存在于 act 工具中，该工具用于本地运行 GitHub Actions 工作流程。该漏洞源于 set-env 和 add-path 命令对环境变量的处理不当，允许攻击者通过精心构造的 Actions 工作流程注入恶意环境变量。攻击者可以在构建过程中设置环境变量，从而影响后续步骤的行为。例如，攻击者可以修改环境变量 PATH，使其包含指向恶意脚本的路径，从而在 Actions 工作流程执行期间执行任意代码。如果攻击者能够控制 Actions 工作流程的触发，例如通过提交恶意代码到仓库，他们可以利用此漏洞在本地环境中执行恶意代码，窃取敏感信息，甚至可能影响到与 Actions 工作流程交互的其他系统。攻击的范围取决于 Actions 工作流程的权限和访问权限，可能包括访问仓库中的代码、环境变量和构建环境。由于 act 模拟了 GitHub Actions 环境，因此该漏洞也可能影响使用 act 进行本地测试和开发的场景，带来潜在的安全风险。

Organizations heavily reliant on GitHub Actions for CI/CD pipelines are at significant risk. This includes development teams using act to accelerate their workflows and those who store sensitive information as environment variables within their GitHub repositories. Shared hosting environments utilizing act also present a heightened risk due to the potential for cross-tenant exploitation.

• linux / server: Monitor GitHub Actions workflow logs for suspicious set-env or add-path commands. Use journalctl to filter for act-related processes and look for unusual environment variable modifications.

journalctl -u act -g 'set-env' --grep 'env=' | less

• generic web: Examine GitHub Actions workflow definitions for any insecure usage of set-env or add-path. Review repository access controls to ensure only authorized users can modify workflows.

1. 2026-04-02Disclosure

   Public Disclosure

1. 已保留2026-03-25
2. 发布日期2026-04-02
3. EPSS 更新日期2026-04-07

解决 CVE-2026-34041 漏洞的最佳方法是升级 act 工具到 0.2.86 或更高版本。该版本已经修复了此漏洞。如果无法立即升级，可以考虑以下缓解措施：限制 Actions 工作流程的权限，确保工作流程只具有执行其所需任务的最小权限；审查 Actions 工作流程的代码，查找潜在的恶意环境变量注入点；禁用 set-env 和 add-path 命令，如果这些命令不是工作流程所必需的。在升级或应用缓解措施后，务必验证修复是否有效。可以通过运行包含 set-env 或 add-path 命令的 Actions 工作流程，并检查环境变量是否按照预期设置来验证。如果升级后出现问题，请查阅 act 的官方文档或寻求社区支持。