最近，GitHub动作tj-actions / changed-files被发现存在供应链攻击漏洞，该漏洞被标记为CVE-2025-30066。该GitHub动作的设计初衷是用于查找和操作git提交中的更改文件，但黑客利用了这一功能，成功注入恶意代码并影响用户代码库。
供应链攻击已经成为软件安全领域的一个持续问题，黑客可以通过操纵第三方软件包或库来在用户系统中引入恶意代码。这种攻击形式通常难以察觉，因为黑客可以在用户不知情的情况下悄悄实施攻击。
GitHub作为全球最大的代码托管平台，其用户规模庞大，因此更容易成为黑客攻击的目标。GitHub动作tj-actions / changed-files的供应链攻击则凸显了开发者在使用第三方工具和库时需要格外小心谨慎。
为了避免类似的供应链攻击，开发者应该始终审查并验证所使用的第三方工具和库的安全性。此外，定期更新软件和及时修复漏洞也是保障系统安全的重要措施。
GitHub已经意识到了该漏洞的存在，正在积极修复和改进GitHub动作tj-actions / changed-files，同时也提醒用户尽快升级到最新版本以确保安全性。希望通过全社会的努力，我们可以共同打击供应链攻击，保护用户的数据和信息安全。
了解更多有趣的事情：https://blog.ds3783.com/