Bypass de Política do GitHub Actions: Uma Circunvenção Trivial de Políticas Aparentemente Seguras

O GitHub Actions fornece um mecanismo de política para restringir as ações e fluxos de trabalho reutilizáveis ​​utilizáveis ​​em um repositório, organização ou empresa. No entanto, esse mecanismo é facilmente contornado. Ao clonar o repositório de ação no sistema de arquivos do agente e, em seguida, usar uma referência de caminho local para executar a mesma ação, a política é trivialmente contornada. Isso torna a política aparentemente segura ineficaz. O autor insta o GitHub a resolver essa vulnerabilidade para evitar que os desenvolvedores acreditem erroneamente que as políticas fornecem um limite de segurança que não existe.