False positive in CWE-829 /UntrustedCheckoutMedium.ql

Offen

#21,823 erstellt am 09.5.2026 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 3/5
Geschätzter Aufwand: 1-2 Tage
Anfängerfreundlichkeit: 55/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Ruhig
Tech-Stack: github, github-actions
Bereich: ci-cd, security

Rechercherichtung

Beginne mit der CWE-829 /UntrustedCheckoutMedium.ql-Abfrage und überprüfe die im Bericht verlinkten Beispiele für ausgelöste und aufgerufene Workflows. Vergleiche das Abfrageergebnis mit dem Verhalten des pull_request-triggered Workflows und dem verlinkten code-scanning alert. Erledigt ist die Aufgabe, wenn der aufgerufene Workflow nicht mehr fälschlicherweise als privilegiert gemeldet wird.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

false-positive

Description of the false positive
When there is a workflow that is triggered by a pull_request, this check considers the called workflow to be privileged even though it is not.

Code samples or links to source code

Triggered Workflow: https://raw.githubusercontent.com/llvm/llvm-project/refs/heads/main/.github/workflows/release-binaries-all.yml
Called Workflow: https://raw.githubusercontent.com/llvm/llvm-project/refs/heads/main/.github/workflows/release-binaries.yml

URL to the alert on GitHub code scanning (optional)

https://github.com/llvm/llvm-project/security/code-scanning/1828

Vorherrschende Sprache: CodeQL
Sterne: 10.1k
Forks: 2.1k
Ø Merge: 2 T. 11 Std.
Gemergte PRs (30 T.): 129

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/codeql

JavaScript externs model StorageEvent() with no type argument Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 84/100

github/codeql#22632 · Erstellt am 20.9.2026
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

github/codeql#22556 · Erstellt am 14.9.2026
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100

github/codeql#21637 · 2 Kommentare · Erstellt am 02.4.2026
Organization owned immutable actions raise warning about unpinned 3rd party actions tag Offen

false-positive

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100

github/codeql#21076 · 3 Kommentare · 3 Reaktionen · Erstellt am 21.12.2025
False positive Offen

false-positive

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 15/100

github/codeql#22627 · Erstellt am 18.9.2026

Alle Issues in github/codeql