Ponto cego
Se há uma crítica que pode ser feita ao GitHub sobre isso, é que demorou muito para resolver uma fraqueza que é conhecida há anos.
O problema está no GitHub Actions, que permite que gatilhos executem fluxos de trabalho, incluindo pull_request, que processa bifurcações de terceiros sem dar acesso a segredos como chaves de API, tokens de serviço e credenciais. A desvantagem é que essa restrição impede que algumas automações funcionem, e é por isso que os desenvolvedores recorrem a um gatilho alternativo, pull_request_target, que concede o acesso necessário.
Em algum momento, os invasores perceberam que onde pull_request_target foi configurado descuidadamente com ações/checkout para extrair código fork não confiável, ele ofereceu uma porta dos fundos para os repositórios e seus segredos.
