CVE-2021-21423

`projen`, JavaScript ile yazılmış iyi tanımlanmış bir tanımdan `package.json`, `tsconfig.json`, `.gitignore`, GitHub Workflows, `eslint`, `jest` ve daha fazlası gibi proje yapılandırma dosyalarını sentezleyen bir proje oluşturma aracıdır. projen'in `NodeProject` proje türünü (ve ondan türetilen tüm proje türlerini) kullananlar, herhangi bir GitHub kullanıcısının "main" depo bağlamında (bir fork yerine) güvenilmeyen kodun yürütülmesini tetiklemesine izin verebilen bir `.github/workflows/rebuild-bot.yml` iş akışına sahiptir. Bazı durumlarda, bu tür güvenilmeyen kodlar potansiyel olarak "main" depoya commit yapabilir. rebuild-bot iş akışı, projen projesinin yeniden oluşturulmasını tetiklemek ve güncellenen dosyalarla çekme isteğini (pull request) güncellemek için çekme isteklerine yapılan `@projen rebuild` içeren yorumlarla tetiklenir. Bu iş akışı bir `issue_comment` olayı tarafından tetiklenir ve bu nedenle her zaman çekme isteğinin yapıldığı depoya ait bir `GITHUB_TOKEN` ile yürütülür (bu durum, her zaman çekme isteğinin yapıldığı depoya ait bir `GITHUB_TOKEN` ile yürütülen `pull_request` olayları tarafından tetiklenen iş akışlarının aksinedir). Varsayılan dallarında (genellikle `main` veya `master`) dal koruması (branch protection) yapılandırılmamış olan depolar, güvenilmeyen bir kullanıcının depoda yapılandırılan gizli bilgilere (NPM token'ları vb.) erişim sağlamasına izin verebilir. Dal koruması, yönetilen `GITHUB_TOKEN` korumalı bir dalın içeriğini değiştiremeyeceği ve etkilenen iş akışlarının varsayılan dalda tanımlanması gerektiği için bu yetki yükseltmeyi engeller.