CVE-2026-40903

Goshs: wyciek tokenu GITHUB_TOKEN przez artefakty workflow (ArtiPACKED)

CVSS 9.1v3.1pub. 2026-04-21upd. 2026-05-01

Podatność typu ArtiPACKED w projekcie goshs (SimpleHTTPServer napisany w Go) umożliwia wyciek tokenu GITHUB_TOKEN poprzez artefakty GitHub Actions, nawet jeśli token nie jest obecny bezpośrednio w kodzie źródłowym repozytorium. Ze względu na wysoki poziom CVSS (9.1) zagrożenie może prowadzić do nieautoryzowanego dostępu do zasobów powiązanych z tym tokenem.

▸ Pokaż oryginał (EN)

goshs is a SimpleHTTPServer written in Go. Prior to 2.0.0-beta.6, goshs has an ArtiPACKED vulnerability. ArtiPACKED can lead to leakage of the GITHUB_TOKEN through workflow artifacts, even though the token is not present in the repository source code. This vulnerability is fixed in 2.0.0-beta.6.

🤖 Analiza AI

Jak działa

Podatność klasy ArtiPACKED polega na tym, że token GITHUB_TOKEN może zostać osadzony w artefaktach generowanych przez workflow GitHub Actions i opublikowany w sposób umożliwiający jego odczyt przez nieuprawnione osoby. Token nie musi znajdować się w kodzie źródłowym — wystarczy, że trafi do artefaktu pipeline'u CI/CD. Osoba z dostępem do tych artefaktów (np. z publicznego repozytorium) może pobrać token i użyć go do dalszych działań.

Skutki

Atakujący, który uzyska dostęp do wyciekłego tokenu GITHUB_TOKEN, może podszywać się pod tożsamość pipeline'u CI/CD, uzyskując nieautoryzowany dostęp do zasobów repozytorium oraz potencjalnie naruszając integralność kodu lub danych (wysokie ryzyko naruszenia poufności i integralności).

Mitygacja

Należy zaktualizować goshs do wersji 2.0.0-beta.6 lub nowszej, w której podatność została naprawiona. Dodatkowo zaleca się unieważnienie (revoke) wszelkich tokenów GITHUB_TOKEN, które mogły zostać ujawnione w artefaktach workflow przed zastosowaniem patcha.

Kogo dotyczy

Goshs (goshs) w wersjach wcześniejszych niż 2.0.0-beta.6

Uwagi

Podatność dotyczy mechanizmu ArtiPACKED — klasy luk związanej z wyciekiem sekretów przez artefakty GitHub Actions. Poprawka została wprowadzona w wersji 2.0.0-beta.6 zgodnie z oficjalnym advisory producenta.