Organization owned immutable actions raise warning about unpinned 3rd party actions tag

Offen Anfängerfreundlich

#21,076 erstellt am 21.12.2025 3 Kommentare 3 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 2/5
Geschätzter Aufwand: 1-3 Stunden
Anfängerfreundlichkeit: 70/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Aktiv
Tech-Stack: github-actions
Bereich: security

Rechercherichtung

Beginne mit actions/ql/src/Security/CWE-829/UnpinnedActionsTag.ql, insbesondere mit den im Issue verlinkten Zeilen 1-12, und untersuche, wie die Warnung organisationseigene unveränderliche Actions beschreibt. Reproduziere diesen Fall oder untersuche ihn und überprüfe anschließend, ob der Wortlaut und das Verhalten der Warnung genau mit den betroffenen Actions übereinstimmen.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

false-positive

This CodeQL warning is great, but its language specifically says 3rd party actions, but my actions are getting warnings even when they're immutable and owned by my organization.

https://github.com/github/codeql/blob/28b6aa8616a393ebb45186e3ba4df004a0f3ef4e/actions/ql/src/Security/CWE-829/UnpinnedActionsTag.ql#L1-L12

Vorherrschende Sprache: CodeQL
Sterne: 10.1k
Forks: 2.1k
Ø Merge: 2 T. 11 Std.
Gemergte PRs (30 T.): 129

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/codeql

JavaScript externs model StorageEvent() with no type argument Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 84/100

github/codeql#22632 · Erstellt am 20.9.2026
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

github/codeql#22556 · Erstellt am 14.9.2026
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100

github/codeql#21637 · 2 Kommentare · Erstellt am 02.4.2026
Python: `isType` treats any object in a module named `*typing` as a type, corrupting points-to for unrelated containers Offen

false-positive

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 68/100

github/codeql#22621 · Erstellt am 18.9.2026
barrierModel arity mismatch: "Expected 4, but was 3" on documented-correct 3-column rows (python-all, javascript-all) Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 55/100

github/codeql#22597 · Erstellt am 16.9.2026

Alle Issues in github/codeql