Nga 2 dhjetori 2026, GitHub Actions do të bllokojë si parazgjedhje ngjarjet pull_request_target në të gjitha depot publike, përveçse kur një politikë e zbatueshme për ngjarjet Actions i lejon shprehimisht. Zbatimi ishte planifikuar për 2 nëntor 2026. Depot private dhe të brendshme nuk preken.
pull_request_target ekzekutohet në kontekstin e depos bazë dhe mund të ketë qasje te sekretet e saj. Nëse një workflow ekzekuton kod të pabesuar nga një fork, ai mund të komprometojë procesin ose të vjedhë sekrete. Rregulli synon ta ulë këtë rrezik, duke lejuar përjashtime të përcaktuara shprehimisht.
Para zbatimit të përhershëm do të ketë dy prova bllokimi: më 9 dhe 16 nëntor 2026, nga ora 16:00 deri në 18:00 UTC. Gjatë tyre, përpjekjet e bllokuara do të shfaqen si ekzekutime të dështuara me shënim gabimi; workflow-t nuk do të ekzekutohen. Pas çdo prove, rregulli kthehet në modalitetin e vlerësimit, që lejon ekzekutimin me paralajmërime.
Përpara 9 nëntorit, përdoruesit mund të kontrollojnë në Insights cilat ekzekutime do të bllokoheshin. Ata mund ta mbajnë bllokimin ose të lejojnë pull_request_target përmes politikës përkatëse, edhe vetëm për workflow të caktuara. Ndryshimi zbatohet për depot publike në GitHub Free, GitHub Team dhe GitHub Enterprise Cloud, por jo në GitHub Enterprise Server.
Burimi: Github Research — lexoni artikullin e plotë në anglisht.
