Cara Bypass Kebijakan GitHub dengan Mudah

Github Actions memberikan mekanisme kebijakan yang bisa dipakai untuk membatasi jenis-jenis tindakan dan alur kerja yang dapat digunakan di dalam repositori. Namun, mekanisme ini mudah dijebol dengan menggunakan path relatif di runner filesystem.

Github telah memperbarui dokumentasi kebijakan untuk mengingatkan bahwa kebijakan tidak membatasi akses ke tindakan lokal pada runner filesystem.

Ada dua kemungkinan solusi atas masalah ini: membatasi penggunaan referensi lokal atau mendokumentasikan kelemahan ini secara eksplisit sehingga pengguna makin waspada.

Efektivitas kebijakan Github saat ini dipertanyakan, karena memberikan rasa aman yang salah, seolah ada batasan keamanan, padahal sebenarnya tidak ada.