reviewdog/action-setup GitHub Action Embedded Malicious Code Vulnerability

高 8.6悪用確認済み（CISA KEV）CVE-2025-30154 · 19/03/2025 公開 · 17/06/2026 更新

reviewdog/action-setup GitHub Action Embedded Malicious Code Vulnerability. 悪用が確認されています：CISA は 24/03/2025 にこの脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加しました。影響を受けるシステムは緊急に修正してください。

要点

CVE-2025-30154 は action-ast-grep (reviewdog), action-composite-template (reviewdog), action-setup (reviewdog) に影響する深刻度「高」 (CVSS 8.6) の脆弱性です。
実際に悪用されています：CISA が 24/03/2025 に KEV カタログへ追加しました。
今後30日間に悪用される確率（EPSS）：2.5%（全脆弱性の 84.6% より高い）。
対処：1.26.2, 0.20.2, 1.29.2, 1.17.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
action-ast-grep reviewdog	`< 1.26.2`	`1.26.2`
action-composite-template reviewdog	`< 0.20.2`	`0.20.2`
action-setup reviewdog	`= 1`	修正版なし
action-shellcheck reviewdog	`< 1.29.2`	`1.29.2`
action-staticcheck reviewdog	`< 1.26.2`	`1.26.2`
action-typos reviewdog	`< 1.17.2`	`1.17.2`

概要

reviewdog/action-setup is a GitHub action that installs reviewdog. reviewdog/action-setup@v1 was compromised March 11, 2025, between 18:42 and 20:31 UTC, with malicious code added that dumps exposed secrets to Github Actions Workflow Logs. Other reviewdog actions that use `reviewdog/action-setup@v1` that would also be compromised, regardless of version or pinning method, are reviewdog/action-shellcheck, reviewdog/action-composite-template, reviewdog/action-staticcheck, reviewdog/action-ast-grep, and reviewdog/action-typos.