CVE-2025-30154: fallo de gravedad alta en reviewdog
Multiple Reviewdog actions were compromised during a specific time period
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA.
Apply mitigations as set forth in the CISA instructions linked below. Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Una acción de GitHub utilizada para instalar reviewdog fue comprometida durante aproximadamente 2 horas el 11 de marzo de 2025, con código malicioso que exponía secretos sensibles en los registros de flujo de trabajo. Esto afectó a múltiples acciones relacionadas y a cualquier flujo de trabajo que las usara durante ese período.
reviewdog/action-setup@v1 fue comprometida (2025-03-11, 18:42–20:31 UTC) conteniendo código malicioso que exfiltraba secretos de GitHub Actions a logs de flujo de trabajo. La vulnerabilidad afecta acciones dependientes (action-shellcheck, action-composite-template, action-staticcheck, action-ast-grep, action-typos) independientemente del método de fijación de versión. Vector de ataque es cadena de suministro; impacto incluye exposición de secretos de repositorio, tokens y credenciales en logs públicamente accesibles.
El análisis completo de esta CVE está disponible en portugués →