CVE-2026-67308

Description

Wazuh workflows before 44bf114 contain a shell injection vulnerability in GitHub Actions that allows attackers to execute arbitrary commands by submitting pull requests with crafted VERSION.json files. Attackers can inject shell metacharacters into environment variables that are directly interpolated into run steps, enabling command execution and exfiltration of secrets including GITHUB_TOKEN and AWS credentials on self-hosted runners.

Gravité et risque d'exploitation

CVE-2026-67308 obtient un score CVSS de 9.3/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.73 %, ce qui la place devant 53.4 % des CVE référencées.

Que faire ?

• Vérifiez si wazuh (versions <44bf114d2f4901aa82ecbb9e5b0780f7c3ca5263, 44bf114d2f4901aa82ecbb9e5b0780f7c3ca5263, 0) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://github.com/wazuh/wazuh/security/advisories/GHSA-95w2-gpvr-q4jh
• https://www.vulncheck.com/advisories/wazuh-github-actions-shell-injection-via-fork-pull-request