CVE-2021-32724

Resumen

check-spelling es una acción de github que proporciona una comprobación ortográfica de CI. En versiones afectadas y para un repositorio con la acción [check-spelling](https://github.com/marketplace/actions/check-spelling) habilitada que desencadena en "pull_request_target" (o "schedule"), un atacante puede enviar un Pull Request diseñado que cause que un "GITHUB_TOKEN" sea expuesto. Con el "GITHUB_TOKEN", es posible enviar confirmaciones al commit omitiendo los procesos de aprobación estándar. Los commits al repositorio podrían entonces robar cualquier/todos los secretos disponibles en el repositorio. Como solución, los usuarios pueden: [Desactivar el flujo de trabajo](https://docs.github.com/en/actions/managing-workflow-runs/disabling-and-enabling-a-workflow) hasta que haya corregido todas las ramas o Configurar el repositorio para [Permitir acciones específicas](https://docs.github.com/en/github/administering-a-repository/managing-repository-settings/disabling-or-limiting-github-actions-for-a-repository#allowing-specific-actions-to-run). la comprobación de la ortografía no es un creador verificado y ciertamente no lo será pronto. Entonces podría añadir explícitamente otras acciones que su repositorio usa. Ajuste el repositorio [Permisos de flujo de trabajo](https://docs.github.com/en/github/administering-a-repository/managing-repository-settings/disabling-or-limiting-github-actions-for-a-repository#setting-the-permissions-of-the-github_token-for-your-repository) a "Read repository contents permission". Los flujos de trabajo que usen "check-spelling/check-spelling@main" obtendrán la corrección automáticamente. Los flujos de trabajo que usen una versión con anclaje o etiquetada tendrán que cambiar los flujos de trabajo afectados para todas las ramas del repositorio a la última versión. Los usuarios pueden verificar quién y qué Pull Requests han ejecutado la acción buscando la acción spelling.yml en la pestaña Acciones de sus repositorios, por ejemplo, https://github.com/check-spelling/check-spelling/actions/workflows/spelling.yml - puede filtrar los PRs al añadir ?query=event%3Apull_request_target, por ejemplo, https://github.com/check-spelling/check-spelling/actions/workflows/spelling.yml?query=event%3Apull_request_target