Betroffen ist Composer, der Abhängigkeitsverwalter für die Programmiersprache PHP. Beim Laden der Konfiguration prüft Composer hinterlegte GitHub-OAuth-Token mit einem Muster, das nur Buchstaben, Ziffern, Punkte und Unterstriche zulässt. Token, die diesem Muster nicht entsprechen, werden in die Meldung einer Ausnahme eingesetzt – der Token-Wert landet damit im Klartext in der Fehlerausgabe. Genau das passiert bei Token, wie sie GitHub Actions bereitstellt: Diese bestehen aus einem Präfix, einer Kennung und einem base64url-kodierten JWT und können Bindestriche enthalten, die die Prüfung nicht besteht. Als Folge wird ein gültiges Zugangsgeheimnis auf die Standardfehlerausgabe geschrieben und erscheint in den Protokollen der CI-Umgebung. Wer diese Protokolle einsehen kann, erhält ein funktionsfähiges Token und damit potenziell Zugriff auf die zugehörigen Repositories und Automatisierungsabläufe. Betroffen sind vor allem automatisierte Build- und Deployment-Pipelines, in denen Composer mit einem solchen Token betrieben wird.