🇰🇷 한글 설명
Zuke는 Deno용 코드 우선, 강타입 빌드 자동화 시스템입니다. 1.51.0 이전의 @zuke/core는 reportSummary(...)로 렌더링된 노트를 writeJobSummary를 통해 GITHUB_STEP_SUMMARY에 기록할 때, console 및 영구 실행 출력에서 secret() 값을 보호하는 redactor를 적용하지 않아 시크릿 값이 평문으로 노출될 수 있습니다. 이 문제는 1.51.0 버전에서 수정되었습니다.
💡 쉬운 설명
빌드 결과 요약 메모에 비밀번호나 토큰 같은 민감한 정보가 포함되면, 워크플로우를 볼 수 있는 사람이라면 누구나 그 값을 평문으로 볼 수 있습니다. 공개 저장소에서는 로그인하지 않은 사용자도 열람할 수 있어 위험합니다.
🇺🇸 원문 (English)
Zuke is a code-first, strongly typed build automation system for Deno. Prior to 1.51.0, @zuke/core writes rendered reportSummary(...) notes to GITHUB_STEP_SUMMARY through writeJobSummary without applying the redactor that protects resolved secret() values in console and persisted run output. A GitHub Actions build that places secret-derived text in a summary note can publish credentials in cleartext to everyone able to view the workflow run, including unauthenticated viewers of a public repository, and the durable summary remains exposed until the run is deleted. GitHub Actions masking directives do not protect the summary file, while runs outside GitHub Actions and builds that do not summarize secret-derived text are not affected. This issue is fixed in version 1.51.0.
📍 영향받는 시스템
@zuke/core 1.51.0 미만 버전을 GitHub Actions에서 사용하면서 시크릿 기반 텍스트를 요약에 기록하는 빌드
⚔️ 공격 벡터
공격자가 공개 저장소의 워크플로우 실행 기록 요약 파일을 열람하여 노출된 시크릿 값을 수집합니다.
🛡️ 대응 방법
@zuke/core를 1.51.0 이상으로 업그레이드하고, 노출된 시크릿은 즉시 폐기 후 재발급하며, 이미 생성된 워크플로우 실행 기록을 삭제합니다.
🔧 검증 코드
출력된 버전이 1.51.0 이상이면 수정된 버전이며, 1.51.0 미만이면 취약하므로 업그레이드가 필요합니다.
deno info npm:@zuke/core 2>/dev/null | grep -i version