pvharmo2/gha-lab-6926364d94Sicherheitsforschungslabor zur Reproduktion von CVE-2025-53546 (GHSA-h87r-5w74-qfm4): `pull_request_target`-Ausführung beliebigen Codes im Auto-Fix-Lint-Workflow von RSSNext/Folo — autorisierte, isolierte Reproduktion
Automatisiertes Forschungsartefakt – nicht das Upstream-Projekt.
Dieses Repository ist ein Wegwerf-Labor, das von einer automatisierten Testumgebung für eine Masterarbeit an der Université Laval zur Reproduktion veröffentlichter GitHub-Actions-Workflow-Schwachstellen erstellt wurde. Es ist eine wörtliche Momentaufnahme von
RSSNext/Folobeim Commit5c5f61d18737e9b039181bee97c7e0b0f956eabf(2025-07-04), weiterverbreitet unter der eigenen Lizenz dieses Projekts, deren Datei unverändert in dieser Momentaufnahme enthalten ist.Das Upstream-Projekt ist nicht beteiligt, wird niemals angegriffen, und die hier untersuchte Schwachstelle ist bereits öffentlich bekannt. Jedes Secret und jede Variable in diesem Repository ist ein zufällig generierter Dummy-Wert – es sind keine echten Anmeldedaten vorhanden. Aktionsreferenzen und Runner-Images sind auf den Stand vom 2025-07-04 fixiert; siehe
pinning.mdin der Testumgebungsausgabe für jede am Snapshot vorgenommene Änderung.Fragen oder Einwände: [email protected]
