reviewdog/action-setup GitHub Action Embedded Malicious Code Vulnerability

CAO 8.6ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2025-30154 · Công bố 19/03/2025 · cập nhật 17/06/2026

reviewdog/action-setup GitHub Action Embedded Malicious Code Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 24/03/2025. Hãy vá các hệ thống bị ảnh hưởng ngay.

Tóm tắt nhanh

CVE-2025-30154 là lỗ hổng mức CAO (CVSS 8.6) ảnh hưởng action-ast-grep (reviewdog), action-composite-template (reviewdog), action-setup (reviewdog).
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 24/03/2025.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.5%, cao hơn 84.6% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.26.2, 0.20.2, 1.29.2, 1.17.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
action-ast-grep reviewdog	`< 1.26.2`	`1.26.2`
action-composite-template reviewdog	`< 0.20.2`	`0.20.2`
action-setup reviewdog	`= 1`	Chưa có bản vá
action-shellcheck reviewdog	`< 1.29.2`	`1.29.2`
action-staticcheck reviewdog	`< 1.26.2`	`1.26.2`
action-typos reviewdog	`< 1.17.2`	`1.17.2`

Mô tả

reviewdog/action-setup is a GitHub action that installs reviewdog. reviewdog/action-setup@v1 was compromised March 11, 2025, between 18:42 and 20:31 UTC, with malicious code added that dumps exposed secrets to Github Actions Workflow Logs. Other reviewdog actions that use `reviewdog/action-setup@v1` that would also be compromised, regardless of version or pinning method, are reviewdog/action-shellcheck, reviewdog/action-composite-template, reviewdog/action-staticcheck, reviewdog/action-ast-grep, and reviewdog/action-typos.