Datosh

**Nome do Software Vulnerável e Versões Afetadas** Vowpal Wabbit (versões afetadas não especificadas) **Descrição** O fluxo de trabalho `.github/workflows/python checks.yml` insere a variável `github.event.pull request.title` diretamente dentro de strings bash entre aspas duplas em quatro etapas e jobs distintos. Esta variável é passada como um argumento de CLI para o script de teste Python `run tests model gen and load.py`. Como o shell interpreta a string expandida antes de invocar o Python, um invasor pode romper as aspas para executar comandos arbitrários no executor. O gatilho `pull request` é ativado para PRs direcionados a qualquer branch sem portões de acesso adicionais. **Recomendações** Aplique a correção fornecida no commit 998e390e80a7e8192d7849b7784bc113dbd190ad.