Demande de fusion empoisonnée (PPE)
Demande de fusion empoisonnée (en anglais poisoned pipeline execution, PPE, ou pwn request) : attaque qui exploite le fait que la définition du pipeline est versionnée dans le dépôt. Une demande de fusion propose une modification du dépôt, donc potentiellement du pipeline lui-même. Si la plateforme exécute le pipeline de la demande de fusion avec les secrets du projet, un contributeur peut y insérer une étape qui lit ces secrets et les exfiltre.
La défense tient en une règle : le code non relu ne voit jamais les secrets. Les secrets ne sont fournis qu'aux exécutions de la branche protégée, pas aux demandes de fusion venant de dépôts dupliqués. C'est la différence entre les déclencheurs sûr et dangereux des plateformes.