Resultados para “ci-cd”
5 resultado(s)
Un token de Netlify de Mozilla quedó a la vista en los logs públicos de su CI
Un log público de una tarea de Firefox CI mostraba en claro un token de la API de Netlify con acceso a la cuenta "Mozilla IT Web SRE", de la que dependía crash-pings.mozilla.org.
4 min
wlc, el cliente de Weblate, deja descargas a medias y muestra trazas de Python con rutas locales
El cliente de línea de órdenes de Weblate no capturaba los errores del sistema de ficheros: una descarga de proyecto fallida dejaba archivos en disco sin decir qué se había escrito, y los errores salían como trazas de Python con rutas y usuario.
6 min
DuckDuckGo: un workflow con pull_request_target permitía ejecutar código y envenenar los scripts de todos sus navegadores
Un workflow de GitHub Actions de content-scope-scripts ejecutaba código de PR ajenas con acceso a secretos. Cualquiera podía robar una clave de API y acabar colando una versión maliciosa en los navegadores de DuckDuckGo.
3 min
DuckDuckGo: un workflow con pull_request_target permitía ejecutar código y robar un PAT de privacy-configuration
Un workflow de GitHub Actions de duckduckgo/privacy-configuration ejecutaba código de forks con acceso a secretos, lo que permitía robar un token capaz de aprobar cambios en la configuración de privacidad de todos los navegadores de DuckDuckGo.
3 min
wlc, el cliente de Weblate, enviaba el token de $WLC_KEY a la URL que fijase un fichero .weblate no confiable
wlc tomaba la URL de la API de un fichero .weblate del directorio actual o de cualquier directorio superior, y le mandaba el token de $WLC_KEY sin comprobar el origen. Un .weblate malicioso bastaba para robar el token.
4 min