CVE-2023-52137

[`tj-actions/verify-changed-files`](https://github.com/tj-actions/verify-changed-files) aksiyonu, değişen dosya adlarında komut enjeksiyonuna izin vererek bir saldırganın rastgele kod çalıştırmasına ve potansiyel olarak gizli bilgileri sızdırmasına olanak tanır. [`verify-changed-files`](https://github.com/tj-actions/verify-changed-files) iş akışı, bir iş akışı yürütmesi sırasında değiştirilen dosyaların listesini döndürür. Çıktı değeri bir `run` bloğu içinde ham bir şekilde kullanılırsa (dolayısıyla yürütülmeden önce doğrudan değiştirilirse), bu durum; saldırganın [GitHub Runner](https://docs.github.com/en/actions/using-github-hosted-runners/about-github-hosted-runners) kontrolünü ele geçirmek için kullanabileceği `;` gibi özel karakterler içeren dosya adlarına potansiyel olarak izin verebilir. Özel komutlar çalıştırarak bir saldırgan, `pull_request` dışındaki olaylarda tetiklenirse `GITHUB_TOKEN` gibi gizli bilgileri çalabilir. Bu sorun, `safe_output` özelliğinin varsayılan olarak etkinleştirilmesi ve bash ortamları için özel karakterleri kaçıran dosya adı yollarının döndürülmesiyle [17](https://github.com/tj-actions/verify-changed-files/releases/tag/v17) ve [17.0.0](https://github.com/tj-actions/verify-changed-files/releases/tag/v17.0.0) sürümlerinde düzeltilmiştir.