CVE-2025-54430

dedupe, yapılandırılmış veriler üzerinde bulanık eşleştirme, tekilleştirme ve varlık çözümlemesini hızlı bir şekilde gerçekleştirmek için makine öğrenimini kullanan bir python kütüphanesidir. 3f61e79 commit'inden önce, .github/workflows/benchmark-bot.yml iş akışında kritik önem derecesine sahip bir güvenlik açığı tespit edilmiştir; burada @benchmark gövdesi kullanılarak bir issue_comment tetiklenebilmektedir. Bu iş akışı, potansiyel olarak kötü niyetli aktörler tarafından manipüle edilen PR dalına karşılık gelen ${{ github.event.issue.number }} değerini checkout ettiği ve güvenilmeyen kodun çalıştırılabileceği için istismara açıktır. Güvenilmeyen kodun çalıştırılması, bu iş akışında çoğu kapsamda -özellikle contents kapsamında- yazma izinlerine sahip olan GITHUB_TOKEN'ın sızdırılmasına yol açabilir ve potansiyel olarak depo ele geçirilmesine neden olabilir. Bu sorun 3f61e79 commit'i ile düzeltilmiştir.