Exfiltration de jetons PyPI via workflows GitHub Actions compromis

Une récente campagne d'attaque ciblait les workflows GitHub Actions pour voler des jetons de publication PyPI. Les attaquants ont modifié les workflows dans divers référentiels, envoyant des jetons PyPI stockés comme secrets GitHub vers des serveurs externes. Bien que certains jetons aient été exfiltrés, ils n'ont pas été utilisés sur PyPI. Tous les jetons affectés ont été invalidés et les mainteneurs impactés ont été notifiés. Il est recommandé d'utiliser les Trusted Publishers de GitHub Actions pour atténuer les attaques futures.