Vulnerabilidades de Saltyorg

O repositório de documentação da Salty constrói e publica o site docs.saltbox.dev. Antes do commit 649c9aea2daef1168eeb0415b44e65dbbde9f220, o arquivo .github/workflows/trigger-pr-build.yml registra um commit não confiável de fork no artefato pr_info, e o job workflow_run com segredos em .github/workflows/build-pr.yml faz checkout desse commit antes de executar pip install -r requirements.txt. Assim, um pull request de fork pode fornecer setup.py ou hooks de build PEP 517 escritos pelo atacante, cuja instalação é executada no workflow privilegiado do repositório base com CF_API_TOKEN, GH_TOKEN, MKDOCS_GIT_COMMITTERS_APIKEY e um GITHUB_TOKEN com permissão de escrita, permitindo divulgação de segredos e comprometimento posterior. A vulnerabilidade não é causada pela proteção de bloqueio de forks, e o caminho demonstrado exige controle do atacante sobre o conteúdo do fork, e não apenas sobre os metadados do artefato. Esta vulnerabilidade foi corrigida pelo commit 649c9aea2daef1168eeb0415b44e65dbbde9f220.