CVE-2024-58354

cal.com (calcom deposu, daha sonra cal.diy olarak yeniden adlandırılmıştır), GitHub Actions iş akışlarındaki bir depo ele geçirme (repository takeover) zafiyetinden etkilenmektedir. pr.yml iş akışı, pull_request_target tetikleyicisini deponun varsayılan yazma izinleriyle kullanmakta ve bu izinleri check-types.yml dosyasına aktarmaktadır. Ardından check-types.yml, saldırgan tarafından gönderilen pull request kodunun 'tehlikeli' bir şekilde dışa aktarımını (dangerous-git-checkout eylemi aracılığıyla) gerçekleştirmekte ve sonrasında bunu yürütmektedir (yarn install ve package.json betikleri üzerinden). Bir saldırgan, kodu deponun yazma kapsamlı GITHUB_TOKEN'ı ile rastgele komutlar çalıştıran bir pull request açabilir; bu durum commit'lerin push edilmesine, pull request'lerin birleştirilmesine veya değiştirilmesine, yorum eklenmesine veya silinmesine ve dalların (branch) silinmesine veya zorla push edilmesine olanak tanıyarak depoyu tehlikeye atar. main dalı etkilenmiştir; yamalanmış bir sürüm mevcut değildir.