CVE-2026-58412：Filecoin Pin 受 GitHub Actions Fork Bypass 攻擊，導致未授權儲存
CVE-2026-58412 - Filecoin Pin: Fork bypass in the privileged GitHub Actions workflow
Filecoin Pin 的 GitHub Actions 工作流程在 1.1.0 之前存在 fork bypass 漏洞，攻擊者可利用倉庫所有者的 Filecoin wallet 上傳惡意 artifact，導致未授權儲存與額外費用。
此漏洞使攻擊者能利用倉庫所有者的 Filecoin 錢包進行未授權儲存，造成額外費用與資料汙染，且不需洩露私鑰，提醒使用者及時升級至 1.1.0 以防止資金被盜，並建議檢查 GitHub Actions 工作流程配置，避免未授權的 fork PR 觸發。
Filecoin Pin 是一個 IPFS Pinning Service API 實作，將資料固定至 Filecoin 的 PDP 服務。於 1.1.0 之前，`upload-action/src/build.js` 中的 upload GitHub Action 的 fork 檢測僅檢查 `event.pull_request`。在檔案化的雙工作流程模式中，未受信任的 fork pull‑request 工作流程會產生 artefact，而特權 `workflow_run` 工作流程則下載並上傳該 artefact。由於 `workflow_run` 沒有 `event.pull_request`，`isForkPR` 會變為 false，`uploadStatus` 變為 `pending-upload`。Action 之後會解析 `workflow_run.pull_requests`，在使用 `walletPrivateKey` 初始化錢包並上傳 artefact 之前，未再次執行 fork 檢查。外部貢獻者因此能使攻擊者控制的 artefact 透過倉庫擁有者的 Filecoin 錢包儲存，造成未授權的儲存費用、資料集汙染及消耗已設定的錢包資金。並不需要透露錢包私鑰。0.x 行為未收到回溯，必須遷移至已修復的 1.x 版本。此問題已在 1.1.0 版本修復。
影響
受影響產品
下列產品受到 CVE-2026-58412
漏洞影響。
即使 cvefeed.io 瞭解受影響產品的
具體版本，資訊也未在下表中呈現。
尚未記錄受影響產品
Common Vulnerability Scoring System（CVSS）是一套標準化框架 用於評估軟體與系統漏洞的嚴重性。 我們會收集並顯示每個 CVE 的 CVSS 分數，來源多樣。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | MITRE-CVE |
升級至 1.1.0 或更新版本以修復供應鏈漏洞。
- 將 Filecoin Pin 升級至 1.1.0 或更新版本。
- 從 0.x 行為遷移至已修復的 1.x 版本。
我們掃描 GitHub 倉庫以偵測新的概念驗證攻擊。以下列表為已發布於 GitHub 的公開攻擊與概念驗證集合（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為文章中提及
CVE-2026-58412 漏洞的新聞。
EPSS 是對未來 30 天內觀測到利用活動的每日機率估計。以下圖表顯示該漏洞的 EPSS 分數歷史。