Organization owned immutable actions raise warning about unpinned 3rd party actions tag

未关闭适合新手

#21,076 创建于 2025年12月21日 3 条评论 3 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 2/5
预计耗时: 1-3 小时
新手友好度: 70/100

Issue 类型: 缺陷
描述清晰度: 基本清楚
活跃度: 活跃
技术栈: github-actions
领域: security

调研方向

从 actions/ql/src/Security/CWE-829/UnpinnedActionsTag.ql 开始，尤其检查 issue 中链接的第 1-12 行，并检查警告如何描述组织拥有的不可变 actions。复现或检查该案例，然后验证警告的措辞和行为是否准确符合受影响的 actions。

由索引模型根据 Issue 内容生成。

描述

false-positive

This CodeQL warning is great, but its language specifically says 3rd party actions, but my actions are getting warnings even when they're immutable and owned by my organization.

https://github.com/github/codeql/blob/28b6aa8616a393ebb45186e3ba4df004a0f3ef4e/actions/ql/src/Security/CWE-829/UnpinnedActionsTag.ql#L1-L12

主要语言: CodeQL
星标: 10.1k
派生: 2.1k
平均合并: 2 天 11 小时
30 天内合并 PR: 129

贡献指南

打开贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

github/codeql 的其他 Issue

JavaScript externs model StorageEvent() with no type argument 未关闭

难度 2/5 1-3 小时新手友好度 84/100

github/codeql#22632 · 2026年9月20日创建
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal 未关闭

难度 2/5 1-3 小时新手友好度 82/100

github/codeql#22556 · 2026年9月14日创建
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) 未关闭

难度 2/5 1-3 小时新手友好度 78/100

github/codeql#21637 · 2 条评论 · 2026年4月2日创建
False positive 未关闭

false-positive

难度 4/5 3-5 天新手友好度 15/100

github/codeql#22627 · 2026年9月18日创建
Python: `isType` treats any object in a module named `*typing` as a type, corrupting points-to for unrelated containers 未关闭

false-positive

难度 3/5 1-2 天新手友好度 68/100

github/codeql#22621 · 2026年9月18日创建

查看 github/codeql 的全部 Issue

相似的 Issue

Certificates from mix phx.gen.cert are rejected by Chrome 未关闭

难度 2/5 1-3 小时新手友好度 84/100

phoenixframework/phoenix#6847 · 2026年9月21日创建
[Intake] Problem GitHub Action entrypoint shell script used `eval "$CMD"` to execute comm 未关闭

intake mcp-intake needs-ac needs-human-review priority:medium type:bug

难度 2/5 1-3 小时新手友好度 84/100

Ikalus1988/MisakaNet#2019 · 2 条评论 · 2026年9月21日创建
A 403 from the server is treated as a failed login and sends the user to the login screen 未关闭

bug

难度 2/5 1-3 小时新手友好度 76/100

avniproject/avni-client#2135 · 2026年9月21日创建
[sec-check] deploy-gh-pages.yml grants id-token: write and pages: write workflow-wide — the npm build job holds an OIDC-minting and Pages-deploy credential it never uses 未关闭

agent/security hive/hosted-available-lke648397-260827-5n31 security

难度 2/5 1-3 小时新手友好度 84/100

cncf/endusers#374 · 2026年9月21日创建
saml_binding_post_parse leaks the base64-decoded response buffer on every parse 未关闭

难度 2/5 1-3 小时新手友好度 82/100

api7/lua-resty-saml#63 · 2026年9月21日创建

更多 Security Issue