Um script do GitHub Actions utilizado para preparar tarballs e atualizar status do GitHub Checks e comentários de PR estava mal estruturado. O script misturava código executado com privilégios elevados, especificamente um token de uso único com permissões de escrita, e entradas não confiáveis do branch de origem do PR. Essa falha permite que um pull request malicioso vindo de um fork extraia o valor do `GITHUB TOKEN`. Enquanto o token for válido durante a execução do job do GitHub Actions, ele poderá ser utilizado para manipular conteúdos do repositório Git, verificações de commit, status ou comentários de issues e PRs, de acordo com as permissões atribuídas.