Deux Actions populaires de GitHub (tj-actions/changed-files et reviewdog/action-setup) ont été compromises. La compromission de la chaîne d’approvisionnement permet à des attaquants d'accéder à des secrets sensibles dans des projets utilisant ces Actions. Les secrets potentiellement exposés incluent (Clés d'accès valides, Tokens d'accès personnel GitHub (PATs), Tokens npm et Clés RSA privées). 

• La vulnérabilité « CVE-2025-30066 » affecte toutes les versions de l’Action GitHub tj-actions/changed-files exécutées entre le 12 mars 2025 à 01:00 (GMT+1) et le 15 mars 2025 à 13:00 (GMT+1). Cette action a été compromise pour intégrer un script Python malveillant qui extrait des secrets (clés d’accès, jetons d’authentification, etc.) depuis la mémoire du processus Runner Worker et les expose dans les logs GitHub.  
• La vulnérabilité « CVE-2025-30154 » concerne toutes les versions de l’action « reviewdog/action-setup » exécutées entre le 11 mars 2025 (19:42 (GMT+1)) et le 11 mars 2025 (21:31 (GMT+1)). Cette faille a potentiellement permis aux attaquants de compromettre d’autres Actions associées à reviewdog, entraînant des risques similaires de divulgation de secrets.