漏洞信息

漏洞描述

该 GitHub Action 在 CI 流水线执行时，从不受本项目版本控制的外部 Git 仓库克隆工具代码，并直接执行 pip3 install -r requirements.txt 安装其中的 Python 依赖。由于未使用 --require-hashes 哈希校验、未固定 commit SHA、使用第三方 PyPI 镜像源，攻击者可通过篡改外部仓库或注册 typosquatting 包两条路径在 CI 运行环境中实现任意代码执行（RCE）。CI runner 通常持有 GITHUB_TOKEN、ATOMGIT 凭据等敏感密钥。

受影响资产

• api-scan-action GitHub Action 工具
• CI/CD 运行环境
• CI 环境中的 GITHUB_TOKEN、ATOMGIT 密钥等 secrets
• 被扫描的代码仓库
• 外部工具仓库 gitcode.com/openlibing/openlibing-api-parser.git

修复建议

固定外部仓库的 commit SHA，使用 --require-hashes 安装 Python 依赖，使用官方 PyPI 源。