原文

Vowpal Wabbitは機械学習システムです。ワークフロー.github/workflows/python_checks.ymlは${{github.event.pull_request.title}}を4つのジョブにまたがる4つの別々のステップ内のダブルクォートされたbash文字列の中に直接埋め込み、それぞれPythonのテストスクリプトrun_tests_model_gen_and_load.pyへのCLI引数として渡しています。シェルはPythonを呼び出す前に展開された文字列を解釈するため、攻撃者はクォートを抜け出してランナー上で任意のコマンドを実行できます。pull_requestトリガーはどのブランチをターゲットにしたPR（branches: ['*']）でも発火し、追加のアクセス制御はありません。この脆弱性はコミット998e390e80a7e8192d7849b7784bc113dbd190adで修正されました。