Um pesquisador de segurança descobriu uma falha no GitHub Action de Claude Code da Anthropic que permitiu que um atacante assumisse o controle de repositórios públicos vulneráveis com apenas uma issue aberta no GitHub. A própria ação de repositório da Anthropic usava o mesmo fluxo de trabalho, o que poderia ter permitido que um ataque malicioso injetasse código malicioso na ação em si e nos projetos downstream que a utilizam.
Detalhes Técnicos
A falha foi encontrada no GitHub Action de Claude Code, que é uma ferramenta de automação para repositórios GitHub.
Um atacante poderia explorar a falha abrindo uma issue no GitHub, o que permitia a execução de código malicioso.
A vulnerabilidade afetou repositórios públicos que utilizavam a ação de Claude Code.
A falha também afetou a própria ação de repositório da Anthropic, o que poderia ter permitido a injeção de código malicioso em projetos downstream.
Posso adicionar mais detalhes técnicos sobre a falha e como ela foi corrigida.
