В репозитории gradio-app/gradio существует уязвимость, связанная с внедрением команд, а именно в рабочем процессе ‘test-functional.yml’. Уязвимость возникает из-за неправильной нейтрализации специальных элементов, используемых в команде, что позволяет несанкционированно изменять базовый репозиторий или извлекать секреты. Проблема затрагивает версии до ‘@gradio/video@0.6.12’ включительно. Недостаток присутствует в обработке информации о контексте GitHub в рабочем процессе, где он повторяет полное имя головного репозитория, головную ветвь и ссылку на рабочий процесс без надлежащей очистки. Это может привести к извлечению конфиденциальных секретов, таких как ‘GITHUB_TOKEN’, ‘COMMENT_TOKEN’ и ‘CHROMATIC_PROJECT_TOKEN’.