Конечная точка GET /api/v1/user/actions/runners/registration-token (и ее эквиваленты на уровне владельца и репозитория) создает новый токен регистрации бегуна, если таковой не существует, однако промежуточное программное обеспечение области API классифицирует его как доступный только для чтения, поскольку это запрос GET. Таким образом, владелец утекшего токена read:user-scoped может создать регистрационный токен и зарегистрировать вредоносный исполнитель Actions, который выполняет задания рабочего процесса с доступом к секретам репозитория и исходному коду.
Показать оригинальное описание (EN)
The GET /api/v1/user/actions/runners/registration-token endpoint (and its owner- and repository-level equivalents) creates a new runner registration token if none exists, yet the API scope middleware classifies it as read-only because it is a GET request. A holder of a leaked read:user-scoped token can therefore mint a registration token and register a malicious Actions runner that executes workflow jobs with access to repository secrets and source code.
Характеристики атаки
Последствия
Строка CVSS v3.1