CVE-2023-52137

[`tj-actions/verify-changed-files`](https://github.com/tj-actions/verify-changed-files) action-ı dəyişdirilmiş fayl adlarında əmr inyeksiyasına yol açır ki, bu da hücumçuya ixtiyari kodun icra edilməsinə və potensial olaraq məxfi məlumatların sızdırılmasına imkan verir. [`verify-changed-files`](https://github.com/tj-actions/verify-changed-files) iş axını (workflow), iş axınının icrası zamanı dəyişdirilmiş faylların siyahısını qaytarır. Əgər çıxış dəyəri `run` bloku daxilində xam şəkildə istifadə edilərsə (beləliklə, icradan əvvəl birbaşa əvəz olunarsa), bu, tərkibində `;` kimi xüsusi simvollar olan fayl adlarının istifadəsini mümkün edə bilər və hücumçunun [GitHub Runner](https://docs.github.com/en/actions/using-github-hosted-runners/about-github-hosted-runners)-i ələ keçirməsinə şərait yarada bilər. Xüsusi əmrləri icra etməklə, hücumçu `pull_request`-dən fərqli hadisələrdə tətikləndiyi təqdirdə `GITHUB_TOKEN` kimi məxfi məlumatları oğurlaya bilər. Bu problem, `safe_output` funksiyasının standart olaraq aktivləşdirilməsi və bash mühitləri üçün xüsusi simvolları ekranlayan (escaping) fayl yolu adlarının qaytarılması ilə [17](https://github.com/tj-actions/verify-changed-files/releases/tag/v17) və [17.0.0](https://github.com/tj-actions/verify-changed-files/releases/tag/v17.0.0) versiyalarında düzəldilmişdir.