False negative: unzip using subprocess or `shutil.unpack_archive` is not covered in py/tarslip

評価

この issue はまだ評価されていません。

説明

 import tarfile, sys, shutil, zipfile, subprocess
 unsafe_filename = sys.argv[1]
 tar = tarfile.open(unsafe_filename) 
 tar.extractall() # detected
 # 1. shutil 
 shutil.unpack_archive(unsafe_filename, "out") # not detected
 # 2. subprocess
 subprocess.run(["tar", "-xf", unsafe_filename]) # not detected

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
3. リポジトリをフォークし、ブランチを切って変更します。
4. issue 番号を参照したプルリクエストを送ります。

github/codeql のほかの issue

• JavaScript externs model StorageEvent() with no type argument オープン

  難易度 2/5 1〜3時間 初心者へのやさしさ 84/100

  github/codeql#22632 · 2026年9月20日 に作成

• C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal オープン

  難易度 2/5 1〜3時間 初心者へのやさしさ 82/100

  github/codeql#22556 · 2026年9月14日 に作成

• Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) オープン

  難易度 2/5 1〜3時間 初心者へのやさしさ 78/100

  github/codeql#21637 · コメント 2 件 · 2026年4月2日 に作成

• Organization owned immutable actions raise warning about unpinned 3rd party actions tag オープン
  false-positive

  難易度 2/5 1〜3時間 初心者へのやさしさ 70/100

  github/codeql#21076 · コメント 3 件 · リアクション 3 件 · 2025年12月21日 に作成

• Python: `isType` treats any object in a module named `*typing` as a type, corrupting points-to for unrelated containers オープン
  false-positive

  難易度 3/5 1〜2日 初心者へのやさしさ 68/100

  github/codeql#22621 · 2026年9月18日 に作成

github/codeql の issue をすべて見る