主要な GitHub リポジトリからアクセス トークンが漏洩し、コードとクラウドが危険にさらされる from csoonline.com

パロアルトネットワークスによる調査では、大手企業が所有するオープンソース リポジトリ内の GitHub Action ワークフローから生成されたビルド アーティファクトに秘密が発見されました。
このトークンは、OWASP や Google だけでなく、サードパーティのクラウド サービスやインフラストラクチャにアクセスするために使用されました。
「私たちが発見した脆弱なプロジェクトのほとんどで…一般的な漏洩は GitHub トークンです」と Yaron Avital 氏は述べています。
これにより、リポジトリ内を流れる可能性のあるプッシュまたはプッシュ (悪意のあるコード) が発生する可能性があります。