CVE-2026-31976

CRITICAL CVSS 4.0: 9,3 EPSS 0.08%
Обновлено 16 марта 2026
GitHub
Параметр Значение
CVSS 9,3 (CRITICAL)
Уязвимые версии 5.38.0 — 6.4.0
Тип уязвимости CWE-506
Поставщик GitHub
Публичный эксплойт Нет

xygeni-action — это действие GitHub для сканера Xygeni. 3 марта 2026 г. злоумышленник, имеющий доступ к скомпрометированным учетным данным, создал серию запросов на включение (№ 46, № 47, № 48), внедрив запутанный шелл-код в action.yml. PR были заблокированы правилами защиты веток и никогда не объединялись с основной веткой. Однако злоумышленник использовал скомпрометированные учетные данные приложения GitHub, чтобы переместить изменяемый тег v5, чтобы указать на вредоносный коммит (4bf1d4e19ad81a3e8d4063755ae0f482dd3baf12) из ​​одного из несвязанных PR.

Этот коммит остался в хранилище объектов git репозитория, и любой рабочий процесс, ссылающийся на @v5, будет его получать и выполнять. Это компромисс в цепочке поставок из-за отравления тегов. Любой рабочий процесс GitHub Actions, ссылающийся на xygeni/xygeni-action@v5, во время затронутого окна (приблизительно 3–10 марта 2026 г.) запускал имплант C2, который позволял злоумышленнику выполнять произвольную команду на бегуне CI в течение до 180 секунд на каждый запуск рабочего процесса.

Показать оригинальное описание (EN)

xygeni-action is the GitHub Action for Xygeni Scanner. On March 3, 2026, an attacker with access to compromised credentials created a series of pull requests (#46, #47, #48) injecting obfuscated shell code into action.yml. The PRs were blocked by branch protection rules and never merged into the main branch. However, the attacker used the compromised GitHub App credentials to move the mutable v5 tag to point at the malicious commit (4bf1d4e19ad81a3e8d4063755ae0f482dd3baf12) from one of the unmerged PRs. This commit remained in the repository's git object store, and any workflow referencing @v5 would fetch and execute it. This is a supply chain compromise via tag poisoning. Any GitHub Actions workflow referencing xygeni/xygeni-action@v5 during the affected window (approximately March 3–10, 2026) executed a C2 implant that granted the attacker arbitrary command execution on the CI runner for up to 180 seconds per workflow run.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v4.0

Тип уязвимости (CWE)

Уязвимые продукты 1

Конфигурация От (включительно) До (исключительно)
Xygeni Xygeni-Action
cpe:2.3:a:xygeni:xygeni-action:*:*:*:*:*:*:*:*
5.38.0 <= 6.4.0