Yagcioglutoprak

Uploads de artefatos do Actions legado armazenam o cabeçalho `Content-Encoding` sem validação na coluna utilizada como `Content-Type` durante o download. Se o valor começar com `video/` ou `audio/`, a Content-Security-Policy de sandboxing (uma camada de segurança que ajuda a detectar e mitigar certos tipos de ataques, incluindo Cross-Site Scripting) é removida. Isso permite que um usuário capaz de executar um job do Actions faça o upload de um artefato que o navegador renderiza como HTML quando a URL de download direto é acessada. Em repositórios públicos, essas URLs são acessíveis anonimamente. Uma vítima que abrir o link executa o script do invasor em sua própria sessão, o que pode conceder ao invasor controle total da instância se a vítima for um administrador.

Os quadros de projetos de repositórios e organizações não verificavam se o visualizador tinha as permissões necessárias para ler as pull requests que referenciavam problemas no quadro. Isso permitia que usuários, incluindo visitantes anônimos de quadros públicos, visualizassem o caminho de um repositório privado, bem como o número, título e estado de pull requests privadas. O corpo, o diff e os arquivos da pull request não foram expostos.