tj-actions/branch-names Contains Command Injection Vulnerability

Uma ferramenta de GitHub Action que processa nomes de branches e tags não sanitiza corretamente sua saída, permitindo que atacantes injetem comandos maliciosos em workflows que usam esta ferramenta. Isso pode levar à execução de código arbitrário em workflows subsequentes.

A ação contém uma vulnerabilidade de injeção de comando (CWE-77) através de saída não escapada de nomes de branch/tag. Apesar de sanitização interna, as saídas não são devidamente escapadas para contextos de shell, permitindo que nomes de branches especialmente criados quebrem e executem comandos arbitrários em workflows consumidores. Pré-condições incluem usar versões vulneráveis da ação (8.2.1 e anteriores) e processar nomes de branches ou tags controlados por atacantes.