漏洞信息

漏洞描述

该 GitHub Action 在安装 Python 依赖时使用 --break-system-packages 标志绕过 PEP 668 externally-managed-environment 保护机制，允许 pip 全局安装覆盖系统级 Python 包。同时使用第三方镜像源（清华大学 PyPI 镜像）而非官方 pypi.org。如果外部仓库的 requirements.txt 被篡改或镜像源被入侵，恶意 Python 包可在安装时通过 setup.py 执行任意代码。

受影响资产

• api-miner-action GitHub Action 工作流
• GitHub Actions runner 的 Python 运行时环境
• 外部仓库 openlibing-api-parser 的 requirements.txt
• 清华大学 PyPI 镜像源

修复建议

使用虚拟环境（python -m venv）替代--break-system-packages，或使用官方PyPI源。