PT-2026-30892 · Emissary · Emissary

Brennantm · Publicado 2026-04-06 · Atualizado 2026-04-14 · CVE-2026-35580

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Emissary versões anteriores a 8.39.0

Description Emissary é um mecanismo de fluxo de trabalho baseado em dados e P2P. Antes da versão 8.39.0, os arquivos de fluxo de trabalho do GitHub Actions continham pontos de injeção de shell onde as entradas workflow dispatch controladas pelo usuário eram interpoladas diretamente em comandos shell através da sintaxe de expressão ${{ }}. Um invasor com acesso de gravação ao repositório poderia injetar comandos shell arbitrários, potencialmente levando ao envenenamento do repositório e ao comprometimento da cadeia de suprimentos, afetando os usuários downstream.

Recommendations Atualize para a versão 8.39.0 ou superior.

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2026-35580

GHSA-3G6G-GQ4R-XJM9

OPENSUSE-SU-2026:10540-1

Produtos afetados

Emissary

Referências · 19

• https://github.com/randombit/botan/pull/5500 · Nota
• https://github.com/NationalSecurityAgency/emissary · Nota
• https://github.com/NationalSecurityAgency/emissary/security/advisories/GHSA-3g6g-gq4r-xjm9 · Aviso do Fabricante
• https://github.com/NationalSecurityAgency/emissary/pull/1286 · Correção
• https://github.com/NationalSecurityAgency/emissary/pull/1288 · Correção
• https://twitter.com/CVEnew/status/2041570007050822098 · Publicação no Twitter
• https://twitter.com/pulsepatchio/status/2042072730217148490 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2041572535867789658 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2041570809529929964 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1sft88v/resumen_diario_de_vulnerabilidades_08042026 · Publicação no Reddit
• https://suse.com/security/cve/CVE-2026-35582 · Nota
• https://twitter.com/vulert_official/status/2041875513573306698 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-35580 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3g6g-gq4r-xjm9 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-35580 · Aviso do Fabricante