Alta

@actions/artifact has an Arbitrary File Write via artifact extraction

Publicada: 03.09.2024
Actualizado: 11.10.2026 10:22

Impact

Versions of actions/artifact before 2.1.7 are vulnerable to arbitrary file write when using downloadArtifactInternal, downloadArtifactPublic, or streamExtractExternal for extracting a specifically crafted artifact that contains path traversal filenames.

Patches

Upgrade to version 2.1.7 or higher.

References

CVE

CVE-2024-42471

Credits

Justin Taft from Google

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	@actions/artifact	>= 2.0.0, < 2.1.2	2.1.2

Referencias

Puntuación CVSS 7.3/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
Debilidad (CWE): CWE-22
Plataforma: npm
Paquete: @actions/artifact
Publicada: 03.09.2024
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-6q32-hq47-5qq3 - CC BY 4.0

Historial de vulnerabilidades: @actions/artifact

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Esta es la única vulnerabilidad conocida de este paquete.

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación