GitHub Actions давно стал одной из самых опасных точек в supply chain. Ошибка в workflow может открыть доступ к секретам, токенам и инфраструктуре — именно так развивались атаки на tj-actions, Ultralytics и Trivy.

В статье разберем, как работают уязвимости вокруг pull_request_target, expression injection и сторонних actions, и почему «просто CI» сегодня требует полноценной threat model.

Источник: Хабрахабр

Источник: kmoseenk (OTUS)

Перейти на сайт

Другие материалы на сайте b.Z - Записки о гаджетах, людях и музыке