O Super-linter, uma combinação de vários linters utilizada como GitHub Action ou de forma autônoma, é suscetível à injeção de comandos por meio de nomes de arquivos criados especificamente. Quando utilizado em fluxos de trabalho do GitHub Actions, um atacante pode introduzir um arquivo com um nome contendo sintaxe de substituição de comandos do shell, como `$(...)`, em um pull request. As versões afetadas do Super-linter podem executar o comando embutido durante a descoberta de arquivos, resultando na execução arbitrária de comandos no contexto do runner do fluxo de trabalho. Isso pode expor potencialmente o `GITHUB TOKEN` do job, dependendo das permissões do fluxo de trabalho. O problema tem origem na lógica de varredura de arquivos utilizada para verificar alterações. Para explorar ativamente essa vulnerabilidade, o atacante precisa ter a capacidade de executar fluxos de trabalho sem aprovação do administrador do repositório. O nível de acesso do `GITHUB TOKEN` aos recursos do repositório também influencia o impacto potencial.