CVE-2023-34111

github repo taosdata/grafanaplugin daxilindəki `Release PR Merged` iş axını əmr inyeksiyası zəifliyinə məruz qalır və bu, GitHub workflow daxilində bash əmrində `${{ github.event.pull_request.title }}` ifadəsinin təhlükəsiz olmayan istifadəsi səbəbindən github action kontekstində ixtiyari kodun icrasına imkan verir. Hücumçular iş axını tərəfindən icra olunacaq zərərli əmrlər yeridə bilərlər. Bu, `${{ github.event.pull_request.title }}` ifadəsinin iş axınının təxminən 25-ci sətrində birbaşa bash əmrinə ötürülməsi səbəbindən baş verir. Bu, hücumçuya github action-ın çıxış imkanı olan secret-lərə giriş əldə etməyə və ya hesablama resurslarından başqa şəkildə istifadə etməyə imkan verə bilər.