CVE-2025-30066: fallo de gravedad alta en tj-actions changed-files
Publicada el · Actualizada el
Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.
Apply mitigations as set forth in the CISA instructions linked below. Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Una herramienta de GitHub Actions tenía una vulnerabilidad que permitía a atacantes leer información secreta de los registros de acciones. Las versiones antiguas de la herramienta fueron comprometidas con código malicioso que exponía datos sensibles.
CWE-506 (código malicioso incrustado) en versiones ≤45.0.7 de tj-actions changed-files permite que atacantes remotos exfiltren secrets a través de registros de workflow; la vulnerabilidad resultó de la manipulación de etiquetas que redirigió a un commit malicioso que contenía funcionalidad updateFeatures no autorizada, afectando a usuarios que referenciaron las etiquetas afectadas entre el 14-15 de marzo de 2025.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.