Um pesquisador de segurança descobriu uma maneira de lançar ataques de execução de código explorando o processo de compilação do GitHub Pages.

Joren Vrancken recebeu uma recompensa de US$ 4.000 pelo bug de injeção de comando relatado por meio do programa de Bug Bounty do GitHub, conforme descrito em uma postagem recente no blog.

De acordo com Vrancken, o problema de segurança existia no GitHub Pages, um serviço de hospedagem estática capaz de extrair dados de repositórios, executar código por meio de um processo de compilação e publicar sites.

Ao criar uma URL maliciosa que baixa e executa um script de uma fonte de terceiros, os invasores podem usar phishing ou outras táticas de engenharia social para atrair um usuário administrador para clicar no link e seguir o processo Select Theme – desencadeando assim uma carga maliciosa e expondo o repositório.

Vrancken recebeu uma assinatura do GitHub Pro, bem como uma recompensa por bugs de US$ 4.000 por seus esforços.