CVE-2025-54416

Nome do Software Vulnerável e Versões Afetadas tj-actions/branch-names versões 8.2.1 e inferiores

Descrição Existe uma vulnerabilidade crítica de injeção de comando no fluxo de trabalho do GitHub Action tj-actions/branch-names. Esta falha deve-se à sanitização de entrada inconsistente e saída não escapada, permitindo que atores maliciosos executem comandos arbitrários por meio de nomes de branch ou tag criados especificamente. A vulnerabilidade origina-se do uso inseguro do padrão eval printf "%s" na base de código da action, o que reintroduz riscos de injeção de comando após a sanitização inicial. Isso pode levar ao roubo de segredos sensíveis, acesso de gravação não autorizado e comprometimento da integridade do repositório. Mais de 5.000 repositórios públicos são potencialmente afetados.

Recomendações Atualize para a versão 9.0.0 para corrigir esta vulnerabilidade.