Vulnerabilidad en act (CVE-2023-22726)

act es un proyecto que permite la ejecución local de acciones de github. El servidor de artefactos que almacena artefactos de las ejecuciones de Github Action no sanitiza las entradas de ruta. Esto permite a un atacante descargar y sobrescribir archivos arbitrarios en el host desde una Github Action. Este problema puede provocar una escalada de privilegios. El endpoint /upload es vulnerable a path traversal, ya que la ruta del archivo está controlada por el usuario y, en última instancia, fluye hacia os.Mkdir y os.Open. El endpoint /artifact es vulnerable a path traversal, ya que la ruta es variable y está controlada por el usuario y, en última instancia, el servidor devuelve el archivo especificado. Esto se ha solucionado en la versión 0.2.40. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar pueden, durante la implementación de Open y OpenAtEnd para FS, asegurarse de usar ValidPath() para verificar el path traversal o limpiar las rutas proporcionadas por el usuario manualmente.