CVE-2020-11021

Versões do @actions/http-client anteriores à 1.0.8

A falha pode expor cabeçalhos de autorização a domínios incorretos em determinados cenários de redirecionamento. Isso ocorre quando usuários do http-client fazem uma solicitação HTTP com um cabeçalho de autorização, a solicitação leva a um redirecionamento (302) e a URL de redirecionamento aponta para outro domínio ou nome de host. Como resultado, o cabeçalho de autorização será passado para o outro domínio. O problema foi corrigido na versão 1.0.8.

Para versões anteriores à 1.0.8, atualize para a versão 1.0.8, na qual o cabeçalho de autorização é removido antes de fazer a solicitação redirecionada, caso o nome do host seja diferente.