CVE-2026-34042：act < 0.2.86 远程代码执行漏洞

CVE-2026-34042 影响 Docker 环境中使用了 nektos/act 缓存功能的系统。该漏洞源于 actions/cache 服务器允许恶意缓存注入。攻击者可以通过精心构造的缓存条目，在 act 执行 GitHub Actions 工作流时，注入恶意文件或脚本。例如，攻击者可以创建一个恶意的缓存条目，其中包含一个可执行脚本，并将其伪装成一个无害的依赖项。当 act 尝试从缓存中检索该条目时，它会执行该脚本，从而导致远程代码执行 (RCE)。受影响的数据包括工作流执行过程中使用的任何敏感信息，例如 API 密钥、密码或环境变量。攻击者的访问权限取决于 act 运行用户及其权限，可能包括访问主机文件系统、网络资源，甚至进一步渗透到整个 Docker 容器或主机环境中。攻击的范围取决于 act 的配置和权限，如果 act 以具有高权限的用户身份运行，则攻击的影响将更大。该漏洞的严重性被评定为高危，CVSS 评分高达 8.2。

1. 已保留2026-03-25
2. 发布日期2026-04-02
3. EPSS 更新日期2026-04-07

解决 CVE-2026-34042 的最佳方法是升级到 nektos/act 的 0.2.86 或更高版本。此版本修复了恶意缓存注入漏洞。如果无法立即升级，可以考虑以下临时缓解措施：禁用 act 的缓存功能，或者限制 act 访问的文件系统和网络资源。禁用缓存功能会降低构建速度，但可以有效防止恶意缓存条目被执行。限制文件系统访问可以减少攻击者在成功利用漏洞后可能造成的损害。在升级或实施缓解措施后，务必验证 act 的配置是否正确，并检查是否有任何异常行为。建议定期扫描 Docker 镜像和容器，以检测潜在的安全漏洞。