该漏洞可导致供应链级远程代码执行。api-scan-action 在每次 CI/CD 流水线运行时从外部仓库 openlibing-api-parser 克隆代码并以 Runner 权限执行。由于默认引用可变分支 master 且无完整性校验，一旦攻击者向 master 分支注入恶意代码，所有使用该 Action 且未显式固定 commit SHA 的流水线将自动拉取并执行恶意代码。攻击者可借此窃取 CI/CD Runner 中的 Token、仓库密钥、构建产物。
将 tool_ref 默认值从 master 改为具体 commit SHA，在克隆后校验仓库完整性。
漏洞信息
漏洞描述
该漏洞可导致供应链级远程代码执行。api-scan-action 在每次 CI/CD 流水线运行时从外部仓库 openlibing-api-parser 克隆代码并以 Runner 权限执行。由于默认引用可变分支 master 且无完整性校验，一旦攻击者向 master 分支注入恶意代码，所有使用该 Action 且未显式固定 commit SHA 的流水线将自动拉取并执行恶意代码。攻击者可借此窃取 CI/CD Runner 中的 Token、仓库密钥、构建产物。
受影响资产
修复建议
将 tool_ref 默认值从 master 改为具体 commit SHA，在克隆后校验仓库完整性。