CVE-2021-32724check-spelling — это действие GitHub, которое обеспечивает проверку орфографии CI. В уязвимых версиях и для репозитория с включенным [действием check-spelling](https://github.com/marketplace/actions/check-spelling), которое запускается при `pull_request_target` (или `schedule`), злоумышленник может отправить специально созданный запрос на включение внесенных изменений, который приведет к раскрытию `GITHUB_TOKEN`. С помощью `GITHUB_TOKEN` можно отправлять коммиты в репозиторий, минуя стандартные процессы утверждения. Затем коммиты в репозиторий могут украсть любые/все секреты, доступные репозиторию. В качестве обходного пути пользователи могут либо: [Отключить рабочий процесс](https://docs.github.com/en/actions/managing-workflow-runs/disabling-and-enabling-a-workflow), пока вы не исправите все ветки, либо установить для репозитория [Разрешить определенные действия](https://docs.github.com/en/github/administering-a-repository/managing-repository-settings/disabling-or-limiting-github-actions-for-a-repository#allowing-specific-actions-to-run). check-spelling не является проверенным создателем и, конечно, не будет им в ближайшее время. Затем вы можете явно добавить другие действия, которые использует ваш репозиторий. Установите для репозитория [Разрешения рабочего процесса](https://docs.github.com/en/github/administering-a-repository/managing-repository-settings/disabling-or-limiting-github-actions-for-a-repository#setting-the-permissions-of-the-github_token-for-your-repository) значение `Разрешение на чтение содержимого репозитория`. Рабочие процессы, использующие `check-spelling/check-spelling@main`, получат исправление автоматически. Рабочим процессам, использующим закрепленный sha или помеченную версию, необходимо будет изменить затронутые рабочие процессы для всех веток репозитория на последнюю версию. Пользователи могут проверить, кто и какие запросы на включение внесенных изменений запускали действие, посмотрев действие spelling.yml на вкладке «Действия» своих репозиториев, например, https://github.com/check-spelling/check-spelling/actions/workflows/spelling.yml — вы можете отфильтровать запросы на включение внесенных изменений, добавив ?query=event%3Apull_request_target, например, https://github.com/check-spelling/check-spelling/actions/workflows/spelling.yml?query=event%3Apull_request_target.