Credential-Stealing GitHub Actions Workflows Planted in Tens of Thousands of Repositories

Cybersecurity researchers have disclosed details of an ongoing credential-theft campaign that has compromised two high-profile open-source maintainer accounts to push a malicious workflow into over 340 repositories. "Using the account of Takashi Kitao, author of the 18,400-star game engine pyxel, the attacker pushed a malicious workflow to 27 repositories starting at 13:20 UTC," StepSecurity…

Falhas exploradas na prática viram incidente em dias. Saber se você usa o produto afetado é o primeiro filtro.

• Procure o produto e a versão afetados no seu ambiente.
• Abra o CVE no NVD e confira a gravidade e a correção.
• Veja na fonte se já há exploração ativa e qual a mitigação provisória.