CVE-2025-54430

dedupe strukturlaşdırılmış məlumatlar üzərində sürətli şəkildə bulanıq uyğunlaşdırma (fuzzy matching), dublikatların silinməsi və obyektlərin həllini yerinə yetirmək üçün maşın öyrənməsindən istifadə edən bir python kitabxanasıdır. 3f61e79 commit-indən əvvəl, .github/workflows/benchmark-bot.yml iş axını daxilində kritik dərəcəli zəiflik aşkar edilmişdir; burada @benchmark gövdəsi vasitəsilə issue_comment tetiklene bilər. Bu iş axını, potensial bədniyyətli aktorlar tərəfindən manipulyasiya edilmiş PR budağına uyğun gələn ${{ github.event.issue.number }} hissəsini checkout etdiyi üçün istismara meyillidir və burada etibarsız kod icra edilə bilər. Etibarsız kodun icrası, bu iş axımında əksər sahələrdə — xüsusilə contents sahəsində — yazı icazələri olan GITHUB_TOKEN-in sızmasına səbəb ola bilər və bu da repozitoriyanın tam ələ keçirilməsi ilə nəticələnə bilər. Bu problem 3f61e79 commit-i ilə düzəldilmişdir.