Multiple Reviewdog actions were compromised during a specific time period

Una acción de GitHub utilizada para instalar reviewdog fue comprometida durante aproximadamente 2 horas el 11 de marzo de 2025, con código malicioso que exponía secretos sensibles en los registros de flujo de trabajo. Esto afectó a múltiples acciones relacionadas y a cualquier flujo de trabajo que las usara durante ese período.

reviewdog/action-setup@v1 fue comprometida (2025-03-11, 18:42–20:31 UTC) conteniendo código malicioso que exfiltraba secretos de GitHub Actions a logs de flujo de trabajo. La vulnerabilidad afecta acciones dependientes (action-shellcheck, action-composite-template, action-staticcheck, action-ast-grep, action-typos) independientemente del método de fijación de versión. Vector de ataque es cadena de suministro; impacto incluye exposición de secretos de repositorio, tokens y credenciales en logs públicamente accesibles.