CVE-2026-39382: Workflow reutilizável do dbt-labs: injeção de comandos de SO via corpo de comentário

Visão geral

O registro descreve uma falha de injeção de comandos de SO (CWE-78) no workflow reutilizável open-issue-in-repo.yml do repositório dbt-labs/actions. No job prep, um corpo de comentário encontrado por peter-evans/find-comment é interpolado em uma instrução if do bash sem escape. O registro indica que a correção está no commit bbed8d28354e9c644c5a7df13946a3a0451f9ab9.

Impacto

O vetor CVSS 4.0 fornecido pela CNA (pontuação 9,3, crítica) descreve ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável.
O registro afirma que um corpo de comentário elaborado poderia sair da string entre aspas e executar comandos de shell arbitrários.
As consequências reais dependem das permissões e segredos disponíveis ao job afetado, o que o registro não descreve.

Produtos e versões afetados

Componente citado no registro: o workflow reutilizável dbt-labs/actions/.github/workflows/open-issue-in-repo.yml, job prep.
O registro não informa faixas de versões afetadas ou corrigidas. As listas de afetados e de correções estão vazias.
O aviso GHSA-5jxf-vmqr-5g82 está vinculado ao repositório dbt-core. O registro não explica como ele se relaciona com este workflow.

Status de exploração

A flag KEV é falsa. Nenhuma exploração confirmada aparece nas fontes consultadas nesta análise.
A probabilidade EPSS é 0,00461, com percentil 0,38215, conforme registrado. Trata-se de estimativa estatística, não de evidência de exploração.

Correção e mitigação

Revise o commit bbed8d28354e9c644c5a7df13946a3a0451f9ab9 e confirme que qualquer cópia do workflow utilizada o inclui.
Se o workflow é chamado por referência, fixe-o em um SHA de commit revisado e atualize-o de forma deliberada.
Até que a mudança esteja aplicada, revise workflows que inserem saídas de etapas ou conteúdo de comentários na lógica do shell, e limite as permissões de token e os segredos disponíveis a jobs disparados por comentários.

Orientações de detecção

Procure, nos arquivos de workflow, saídas de etapas ou campos de evento inseridos diretamente em blocos de execução, especialmente dentro de condicionais.
Revise os logs de execução de jobs disparados por eventos de issue ou comentário em busca de comandos ou saídas inesperadas.
Verifique os logs de auditoria do repositório em busca de alterações inesperadas em arquivos de workflow.

Limitações das informações disponíveis

O registro não contém faixas de versões afetadas, tags de versões corrigidas nem detalhes técnicos de exploração, e esta análise não acrescenta nenhum.
Não se sabe quem pode publicar os comentários que alcançam esse caminho de código em cada implantação.
O source_status do registro é Deferred, e seu significado não é explicado.

Perguntas frequentes

Qual é o problema central do CVE-2026-39382?

Um corpo de comentário obtido por uma etapa do workflow é inserido em uma instrução if do bash sem escape, então texto controlado por atacante pode sair da string entre aspas e injetar comandos de shell.

Existe correção confirmada?

O registro afirma que a correção está no commit bbed8d28354e9c644c5a7df13946a3a0451f9ab9. O registro não informa versões corrigidas, então verifique o commit e a sua cópia do workflow.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.