CVE-2023-27581 in github-slug-action
Resumen
por VulDB • 2026-05-15
github-slug-action es una GitHub Action diseñada para exponer el valor del slug de las variables de entorno de GitHub dentro del flujo de trabajo (workflow) de un usuario. A partir de la versión 4.0.0 y hasta la versión 4.4.1, esta acción utiliza el parámetro `github.head_ref` de manera insegura. Esta vulnerabilidad puede ser explotada por cualquier usuario de GitHub en cualquier flujo de trabajo que utilice la acción en solicitudes de incorporación de cambios (pull requests). Basta con crear una solicitud de incorporación de cambios con un nombre de rama que pueda contener la carga útil del ataque. Esto puede utilizarse para ejecutar código en los entornos de ejecución (runners) de GitHub y para exfiltrar cualquier secreto utilizado en la canalización de integración continua (CI pipeline). Existe una versión corregida de la acción en la versión 4.4.1. No hay ninguna solución alternativa disponible.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.