Атака на trivy-action: 76 из 77 тегов перенаправлены на стилер за ночь

19 марта 2026 года злоумышленник с украденными учётными данными через force-push перенаправил 76 из 77 тегов aquasecurity/trivy-action и все 7 тегов setup-trivy на код, крадущий секреты из памяти раннера. Чистым остался только неизменяемый релиз 0.35.0; часть проектов с SHA-пиннингом тоже пострадала, так как закреплённая версия вызывала setup-trivy по тегу.

• 76 из 77 тегов trivy-action и все 7 тегов setup-trivy перенаправлены на стилер
• Вредоносный код работал около 12 часов — примерно с 17:43 до 05:40 UTC
• Чистым остался только тег 0.35.0 как неизменяемый релиз
• SHA-пиннинг не спас при вызове зависимого экшена по тегу