كانت سير عمل (Workflows) التي يتم تحفيزها بواسطة مراجعة طلب السحب (pull request) تُقرأ من الالتزام (commit) المحدد في `commit id` الخاص بالمراجعة، ولكن النظام فشل في التحقق مما إذا كان هذا الالتزام ينتمي إلى طلب السحب المراجع. سمح هذا للمستخدم الذي لديه صلاحية القراءة للمستودع بتقديم مراجعة تشير إلى التزام يتحكم فيه. في الحالات التي يوجد بها runner نشط، قد يؤدي ذلك إلى تنفيذ سير عمل غير مصرح به يحصل على أسرار Actions الخاصة بالمستودع والمالك، بالإضافة إلى `GITEA TOKEN` بصلاحيات كتابة على المستودع.