CVE-2026-54160

Nome do Software Vulnerável e Versões Afetadas Network UPS Tools (versões afetadas não especificadas)

Descrição Um script do GitHub Actions utilizado para preparar tarballs e atualizar status do GitHub Checks e comentários de PR estava mal estruturado. O script misturava código executado com privilégios elevados, especificamente um token de uso único com permissões de escrita, e entradas não confiáveis do branch de origem do PR. Essa falha permite que um pull request malicioso vindo de um fork extraia o valor do GITHUB TOKEN. Enquanto o token for válido durante a execução do job do GitHub Actions, ele poderá ser utilizado para manipular conteúdos do repositório Git, verificações de commit, status ou comentários de issues e PRs, de acordo com as permissões atribuídas.

Recomendações Aplicar as correções implementadas nos commits 658b24e e 1aa31d1.