61 个仓库的 CI 密钥，差点从评论区顺走。 9 月 1 日，黑客往 61 个仓库扔了 83 条 issue、PR 和评论，77 条集中在 43 分钟里，… · @chenYijl · TwKit

@chenYijl

61 个仓库的 CI 密钥，差点从评论区顺走。 9 月 1 日，黑客往 61 个仓库扔了 83 条 issue、PR 和评论，77 条集中在 43 分钟里，LangExtract、Trivy 等 6 家中招。 手法是老套的 $() 命令替换：评论进了 GitHub Actions 直接执行，env 抓变量打包、curl 发往 54.205.16.142:8443。 双引号包着都没用，Radware 确认两个 workflow 真跑起来了。 好消息是：密钥不会全量交给每个 workflow，跑起来不等于真丢了，Radware 也没证实丢东西。 你站“评论区默认当不可信输入”，还是站“CI 先过沙箱再跑”？

曝光 133 · 评论 1 · 点赞 1 · 书签 0