Gh Actions - Artifact Poisoning
Artifact Poisoning
有几个 Github Actions 允许从其他仓库下载 artifacts。这些其他仓库通常会有一个 Github Action 来上传 artifact,之后会被下载。
如果攻击者能够以某种方式破坏 Github Action,他将能够破坏上传的 artifact,这可能会使他破坏使用它的其他工作流。
从不同仓库下载 artifact的示例:
有关更多信息和防御选项(例如硬编码要下载的 artifact),请查看 https://www.legitsecurity.com/blog/artifact-poisoning-vulnerability-discovered-in-rust
Last updated