Workflows acionados por uma revisão de pull request eram lidos do commit especificado no `commit id` da revisão, mas o sistema não verificava se esse commit pertencia ao pull request revisado. Isso permitia que um usuário com acesso de leitura a um repositório enviasse uma revisão referenciando um commit sob seu controle. Em instâncias com um runner ativo, isso poderia levar à execução de um workflow não autorizado que obteria acesso aos secrets de Actions do repositório e do proprietário, bem como um `GITEA TOKEN` com permissões de escrita no repositório.