github / github/accessibility-scanner
GitHub Script action not pinned to a full-length commit SHA
- Langage dominant
- TypeScript
- Étoiles
- 369
- Forks
- 40
- Merge moyen
- 1 j 9 h
- PR mergées (30 j)
- 10
Description
The `accessibility-scanner` workflow uses `actions/github-script@v8` without pinning it to a specific commit SHA. This violates security best practices and causes the pipeline to fail when the **Require actions to be pinned to a full-length commit SHA** setting is enabled.
#### **Steps to Reproduce**
1. Enable **Require actions to be pinned to a full-length commit SHA** in the repository settings.
2. Run the `accessibility-scanner` workflow.
3. Observe the failure caused by the unpinned `actions/github-script` action.
#### **Expected Behavior**
The workflow should run successfully with all actions pinned to full-length commit SHAs.
#### **Actual Behavior**
The workflow fails because `actions/github-script@v8` is not pinned to a commit SHA.
https://github.com/github/accessibility-scanner/blob/db51bb5d470a862cc027836ee1583ab9d5ae5b16/action.yml#L137
Guide de contribution
Ouvrir le guide de contribution
Piste de recherche
Commencez par action.yml à la ligne 137, référencé dans l'issue, et examinez l'utilisation de actions/github-script dans le workflow accessibility-scanner. Mettez à jour la référence de l'action vers un SHA de commit complet, puis vérifiez que le workflow respecte l'exigence de pinning du dépôt et s'exécute correctement.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Évaluation
- Stack technique
- github-actions
- Domaine
- ci-cd, security
- Type d'issue
- Bug
- Difficulté
- 1/5
- Temps estimé
- Moins d'une heure
- Activité
- À l'abandon
- Clarté
- Clairement spécifiée
- Accessibilité débutants
- 55/100