GitHub Action组件tj-actions/branch-names存在高危命令注入漏洞，影响超5000个代码库
💡
原文中文，约1400字，阅读约需4分钟。
📝
内容提要
GitHub 热门 Action 组件 tj-actions/branch-names 存在高危命令注入漏洞（CVE-2025-54416），影响超过 5000 个代码库。攻击者可在 CI/CD 流程中执行任意命令，威胁安全。开发者已修复漏洞，建议用户升级至 v9 版本。
🎯
关键要点
- GitHub 热门 Action 组件 tj-actions/branch-names 存在高危命令注入漏洞（CVE-2025-54416），影响超过 5000 个代码库。
- 该漏洞允许攻击者在 CI/CD 工作流中执行任意命令，威胁自动化流程的安全。
- 漏洞源于代码中对 shell 命令的错误处理，导致注入风险重新出现。
- 攻击者可构造特殊命名的分支触发命令执行，可能导致窃取敏感信息和破坏 CI/CD 管道。
- 漏洞影响的严重程度取决于 GITHUB_TOKEN 的权限配置和触发事件的上下文环境。
- 开发者已修复漏洞，移除 eval 调用，建议用户升级至 v9 版本。
❓
延伸问答
tj-actions/branch-names组件的命令注入漏洞是什么？
tj-actions/branch-names组件存在高危命令注入漏洞（CVE-2025-54416），允许攻击者在CI/CD工作流中执行任意命令，影响超过5000个代码库。
这个漏洞是如何被利用的？
攻击者可以构造特殊命名的分支触发命令执行，利用漏洞在GitHub托管的运行器上执行恶意脚本。
该漏洞的影响有多严重？
漏洞的影响严重程度取决于GITHUB_TOKEN的权限配置和触发事件的上下文环境，特权工作流的场景风险尤为突出。
开发者是如何修复这个漏洞的？
开发者已移除eval调用，改用安全的直接输出方式，建议用户升级至v9版本。
这个漏洞影响了哪些类型的项目？
该漏洞影响超过5000个公开代码库，尤其是使用tj-actions/branch-names组件的CI/CD流程。
如何保护我的代码库免受此类漏洞的影响？
建议所有使用tj-actions/branch-names的用户立即升级至v9版本，以防止潜在的命令注入风险。
🏷️
标签
➡️
