CVE-2025-30154

Nome do Software Vulnerável e Versões Afetadas reviewdog/action-setup versão v1 reviewdog/action-shellcheck (versões afetadas não especificadas) reviewdog/action-composite-template (versões afetadas não especificadas) reviewdog/action-staticcheck (versões afetadas não especificadas) reviewdog/action-ast-grep (versões afetadas não especificadas) reviewdog/action-typos (versões afetadas não especificadas)

Description reviewdog/action-setup é uma ação do GitHub usada para instalar o reviewdog. Uma violação ocorreu em 11 de março de 2025, entre 18:42 e 20:31 UTC, durante a qual código malicioso foi inserido para despejar segredos expostos nos Logs de Fluxo de Trabalho do GitHub Actions. Este problema também afeta outras ações do reviewdog que dependem de reviewdog/action-setup@v1, independentemente de sua versão ou método de fixação. Este problema foi explorado em ambiente real.

Recommendations Para a versão v1 do reviewdog/action-setup, atualize a ação para uma versão que inclua a correção via atualização de retag. Para reviewdog/action-shellcheck, reviewdog/action-composite-template, reviewdog/action-staticcheck, reviewdog/action-ast-grep e reviewdog/action-typos, certifique-se de que não estejam utilizando a versão comprometida reviewdog/action-setup@v1.