CI/CD 流水线使用可变 @master 分支引用外部 Action，而非不可变 commit SHA。上游 openlibing/api-scan-action 仓库 master 分支的任何变更（包括被入侵后的恶意提交）会在下次工作流运行时自动拉取并在 CI Runner 上执行。攻击者若获取上游仓库 master 分支推送权限，可向所有使用该工作流的流水线注入恶意代码，窃取 secrets.ROBOT_TOKEN 凭证。
将工作流中的 @master 引用改为具体的 commit SHA（如 @a1b2c3d4e5f6...），并建立定期更新SHA的流程。
漏洞信息
漏洞描述
CI/CD 流水线使用可变 @master 分支引用外部 Action，而非不可变 commit SHA。上游 openlibing/api-scan-action 仓库 master 分支的任何变更（包括被入侵后的恶意提交）会在下次工作流运行时自动拉取并在 CI Runner 上执行。攻击者若获取上游仓库 master 分支推送权限，可向所有使用该工作流的流水线注入恶意代码，窃取 secrets.ROBOT_TOKEN 凭证。
受影响资产
修复建议
将工作流中的 @master 引用改为具体的 commit SHA（如 @a1b2c3d4e5f6...），并建立定期更新SHA的流程。