Lỗi GitHub Actions trong kho Snowflake có thể dẫn đến chèn lệnh
"Researchers at Wiz reported a GitHub Actions workflow injection flaw in Snowflake's public snowflakedb/snowflake-connector-net repository that could be triggered by a crafted GitHub issue to execute shell commands and expose Jira credentials. Snowflake fixed the workflow on June 23, 2026 by replacing direct expression expansion with safer environment-variable handling; no affected .NET connector release, CVE, or confirmed in-the-wild exploitation was identified."
Rủi ro chèn lệnh từ GitHub Actions có thể dẫn đến lộ bí mật CI/CD và truy cập trái phép vào hệ thống liên quan nếu bị khai thác.
Ảnh hưởng chủ yếu đến quy trình phát triển phần mềm và quản trị Jira; có thể gây gián đoạn kiểm soát truy cập, xoay vòng bí mật và đánh giá lại pipeline.
Các nhà nghiên cứu của Wiz đã công bố một lỗi GitHub Actions workflow injection trong kho công khai snowflakedb/snowflake-connector-net của Snowflake. Lỗi này có thể bị kích hoạt bằng một GitHub issue được tạo có chủ đích để thực thi lệnh shell và làm lộ Jira credentials được dùng trong quy trình tự động hóa.
Theo mô tả, vấn đề nằm ở file .github/workflows/jira_issue.yml, nơi dữ liệu từ tiêu đề và nội dung issue được đưa trực tiếp vào khối run:. Workflow này cũng vô tình đưa các biến như JIRA_BASE_URL, JIRA_USER_EMAIL và JIRA_API_TOKEN vào cùng bước chạy. Wiz cho biết họ đã khai thác thành công trong quá trình kiểm thử được cấp phép và nhận được phản hồi ngoài băng từ runner của GitHub Actions.
Snowflake đã khắc phục vào 23/06/2026 bằng cách thay thế việc mở rộng biểu thức trực tiếp bằng cách xử lý qua biến môi trường an toàn hơn. Nhà cung cấp cho biết chưa ghi nhận truy cập trái phép; Wiz cũng nói token Jira đã được xoay vòng vào 24/06 và không có dấu hiệu sử dụng ngoài ý muốn trong khoảng thời gian phơi nhiễm.
Khuyến nghị: rà soát các workflow CI/CD, tránh chèn dữ liệu không tin cậy vào run:, và ưu tiên dùng environment variables hoặc tham số hóa an toàn khi xử lý nội dung từ issue/pull request.