Explotando Dependabot: Cómo eludir la protección de fusión de GitHub

Investigadores han descubierto un nuevo ataque que explota la vulnerabilidad "Confused Deputy" en Dependabot de GitHub (y bots similares). Los atacantes pueden engañar a Dependabot para que fusione código malicioso creando nombres de ramas, posiblemente eludiendo las reglas de protección de ramas y provocando la inyección de comandos. También se revelaron dos técnicas de ataque previamente desconocidas, lo que aumenta la eficacia de esta explotación. Esto destaca la necesidad de que los desarrolladores gestionen cuidadosamente las herramientas automatizadas y mejoren las auditorías de seguridad del código.