CVE-2026-55378

Nome do Software Vulnerável e Versões Afetadas JS Recon versões 1.2.1-beta.1 até 1.3.1-beta.1

Descrição O fluxo de trabalho PR Branch Checker em .github/workflows/pr checker.yml manipula incorretamente valores não confiáveis. Especificamente, os valores github.head ref e github.event.pull request.head.repo.full name são atribuídos às variáveis BRANCH NAME e SOURCE REPO e, em seguida, interpolados em um comando de shell gh pr comment. Um invasor remoto pode usar metacaracteres de shell em um nome de branch ou fork para executar comandos arbitrários no executor do GitHub Actions usando o GITHUB TOKEN, que possui permissões de escrita para pull requests.

Recomendações Atualize para a versão 1.3.1-beta.2.