xygeni-action — это действие GitHub для сканера Xygeni. 3 марта 2026 г. злоумышленник, имеющий доступ к скомпрометированным учетным данным, создал серию запросов на включение (№ 46, № 47, № 48), внедрив запутанный шелл-код в action.yml. PR были заблокированы правилами защиты веток и никогда не объединялись с основной веткой. Однако злоумышленник использовал скомпрометированные учетные данные приложения GitHub, чтобы переместить изменяемый тег v5, чтобы указать на вредоносный коммит (4bf1d4e19ad81a3e8d4063755ae0f482dd3baf12) из одного из несвязанных PR.
Этот коммит остался в хранилище объектов git репозитория, и любой рабочий процесс, ссылающийся на @v5, будет его получать и выполнять. Это компромисс в цепочке поставок из-за отравления тегов. Любой рабочий процесс GitHub Actions, ссылающийся на xygeni/xygeni-action@v5, во время затронутого окна (приблизительно 3–10 марта 2026 г.) запускал имплант C2, который позволял злоумышленнику выполнять произвольную команду на бегуне CI в течение до 180 секунд на каждый запуск рабочего процесса.
Показать оригинальное описание (EN)
xygeni-action is the GitHub Action for Xygeni Scanner. On March 3, 2026, an attacker with access to compromised credentials created a series of pull requests (#46, #47, #48) injecting obfuscated shell code into action.yml. The PRs were blocked by branch protection rules and never merged into the main branch. However, the attacker used the compromised GitHub App credentials to move the mutable v5 tag to point at the malicious commit (4bf1d4e19ad81a3e8d4063755ae0f482dd3baf12) from one of the unmerged PRs. This commit remained in the repository's git object store, and any workflow referencing @v5 would fetch and execute it. This is a supply chain compromise via tag poisoning. Any GitHub Actions workflow referencing xygeni/xygeni-action@v5 during the affected window (approximately March 3–10, 2026) executed a C2 implant that granted the attacker arbitrary command execution on the CI runner for up to 180 seconds per workflow run.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Xygeni Xygeni-Action
cpe:2.3:a:xygeni:xygeni-action:*:*:*:*:*:*:*:*
|
5.38.0
|
<= 6.4.0
|