🇰🇷 한글 설명
cloudflare/pages-action 저장소의 src/index.ts에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 특정 GitHub Actions 워크플로 설정 시 공격자가 CLOUDFLARE_API_TOKEN 및 GITHUB_TOKEN과 같은 민감한 비밀 정보를 탈취할 수 있습니다.
💡 쉬운 설명
해킹을 통해 개발자의 중요한 비밀번호나 인증 키를 훔쳐갈 수 있는 보안 구멍이 발견되었습니다. 이 프로그램은 더 이상 업데이트되지 않으므로 즉시 새로운 프로그램으로 바꿔야 합니다.
🇺🇸 원문 (English)
Description
Cloudflare was recently notified by external researchers of vulnerabilities in this archived repository, including a remote code execution issue in `src/index.ts` reachable from certain GitHub Actions workflow configurations. Successful exploitation may expose workflow secrets such as CLOUDFLARE_API_TOKEN and GITHUB_TOKEN to an attacker. Because this repository has been deprecated since 2024, Cloudflare will not be issuing patches. To remediate this issue, we recommend migrating to `cloudflare/wrangler-action` immediately. Consumers who have already migrated are not affected.
Sunset Date
The cloudflare/pages-action repository will be removed on 2026-09-18. Consumers must complete migration before 18th September to avoid CI disruption.
Affected Versions
All published versions of cloudflare/pages-action, including consumers pinned to the v1 moving tag.
Patched Versions
None. This repository will not receive further updates, including security patches.
Resolution / Migration Path
Migrate all workflows using cloudflare/pages-action to `cloudflare/wrangler-action` before 2026-09-18. Refer to the wrangler-action README for the equivalent step configuration and migration guidance.
Credit
Thanks to @agentka99 and @beg1nn3r for reporting their findings via Cloudflare's HackerOne program that informe
📍 영향받는 시스템
cloudflare/pages-action의 모든 버전 (v1 태그 고정 사용자 포함)
⚔️ 공격 벡터
특정 GitHub Actions 워크플로 구성을 통한 원격 코드 실행(RCE)
🛡️ 대응 방법
cloudflare/pages-action 사용을 중단하고 cloudflare/wrangler-action으로 즉시 마이그레이션하십시오.
🔧 검증 코드
명령어 결과에 cloudflare/pages-action이 포함되어 있다면 해당 취약점에 노출된 상태입니다.
grep -r 'cloudflare/pages-action' .github/workflows/ 2>/dev/null