Entradas no confiables e inyección en el YAML

En GitHub Actions, una expresión como ${{ ... }} dentro de un paso run se resuelve antes de que el intérprete reciba el comando: el motor sustituye el texto y entrega el script ya armado. Si el valor lo controla quien abre la propuesta (un título, un nombre de rama, el cuerpo de un comentario, el mensaje de un commit), ese texto pasa a formar parte del propio comando y puede cambiar lo que hace.

Fíjate en el registro de la ejecución 9120: muestra el comando resultante después de la sustitución. Es la evidencia más clara de que el valor se inserta como texto del script.

El contexto de GitHub tiene valores que controla quien contribuye y otros que no. Los títulos y cuerpos de propuestas e incidencias, los nombres de rama de una propuesta, las etiquetas y los mensajes de commit son entradas no confiables. Un identificador numérico o el nombre del repositorio, en cambio, no los elige un tercero.

Abre los tres flujos y el informe de revisión, y localiza qué expresión se inserta en el comando del flujo que construye la rama.

En GitLab CI las variables predefinidas llegan al script como variables del intérprete, y usadas entre comillas como dato son mucho menos peligrosas que una expresión que se sustituye antes. El riesgo reaparece cuando el valor se convierte en texto de comando: dentro de eval, de sh -c, o pasado a algo que lo vuelve a interpretar. El título de una solicitud de fusión, los nombres de rama y los mensajes de commit son texto que escribe una persona.

La documentación oficial de GitLab pide además que el código malicioso se detecte en la revisión, porque un pipeline lanzado sobre él puede comprometer variables enmascaradas y protegidas.

No todos los flujos con entradas de usuario fallan. El que hace bien las cosas no deja la expresión dentro del comando: la pasa a una variable de entorno en la clave env del paso y el comando usa esa variable entre comillas. El motor sigue sustituyendo la expresión, pero el valor llega al intérprete como contenido de una variable, no como parte del script.

Es el patrón que la documentación oficial de GitHub llama variable de entorno intermedia.

Para los dos flujos de GitHub con hallazgo y para el trabajo de GitLab hay una sola idea de fondo: que la entrada llegue como dato y no como parte del texto del comando. Filtrar caracteres o escapar comillas es frágil: siempre queda una forma que no se previó.