CVE-2024-58354

cal.com (calcom repozitoriyası, sonradan cal.diy adlandırılıb) GitHub Actions iş axınlarında repozitoriyanın ələ keçirilməsi zəifliyindən təsirlənir. pr.yml iş axını pull_request_target tetikleyicisindən repozitoriyanın standart yazma icazələri ilə istifadə edir və bu icazələri check-types.yml-ə ötürür. Sonra check-types.yml hücumçu tərəfindən təqdim edilmiş pull request kodunun "təhlükəli" checkoutunu həyata keçirir (dangerous-git-checkout action vasitəsilə) və sonradan onu icra edir (yarn install və package.json skriptləri vasitəsilə). Hücumçu kodu repozitoriyanın yazma əhatəli GITHUB_TOKEN-ı ilə ixtiyari əmrləri icra edən pull request aça bilər və bununla commit-lər push etmək, pull request-ləri birləşdirmək və ya dəyişdirmək, şərhlər əlavə etmək və ya silmək, branch-ları silmək və ya force-push etmək imkanı əldə edərək repozitoriyanı kompromisə uğradır. Əsas branch təsirlənir; yamaqlanmış versiya mövcud deyil.