从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. 漏洞描述： - 环境变量注入：Litestar的 工作流在 工作流完成时触发，下载并提取由触发工作流生成的artifact。 - 环境变量定义：在下载的artifact中， 文件的内容被读取并定义为环境变量。 - 恶意文件注入：攻击者可以发送恶意 文件，其中包含恶意代码，导致环境变量被注入恶意代码。 2. 漏洞影响： - 影响版本：受影响的版本为 。 - 修复版本：已修复的版本为 。 3. 漏洞利用： - 利用步骤： - 克隆仓库 - 编辑 文件 - 创建Pull Request - 攻击者触发Pull Request，触发 工作流，读取恶意artifact并注入环境变量。 4. 影响： - 权限提升：攻击者可以获取写入权限、读取元数据和Pull Requests的写入权限。 - 敏感信息泄露： 秘密信息将被泄露给攻击者。 5. 修复措施： - 验证下载的artifact内容。 - 禁止在重定向到GITHUB_ENV时添加新行。 6. 资源： - CodeQL for JavaScript - Expression injection in Actions - Keeping your GitHub Actions and workflows secure Part 2: Untrusted input - Keeping your GitHub Actions and workflows secure Part 1: Preventing pwn requests 7. 披露政策： - 披露报告在90天内有效，详细信息参见协调披露政策。 这些信息详细描述了漏洞的性质、影响和修复措施，有助于理解漏洞的严重性和如何进行安全修复。