Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

stage 2: bare names resolve against PATH differently from the shell (empty and relative entries)

Cerrado Apto para principiantes
  • ¿Algo no está bien?
#206 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Ya se ha fusionado un pull request relacionado.

  • #213 de @STRML — fusionado

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
82/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
typescript
Área
security

Línea de trabajo

Empieza por stage-two.ts, especialmente por scriptsForReview, shapeARefusal y programNames. Rastrea cómo se comparan los nombres simples con las entradas de PATH, incluidas las entradas vacías y relativas, y compara ese comportamiento con la resolución del shell. El cambio estará terminado cuando la ruta de cada nombre simple se compruebe de forma coherente para que un script local insertado no pueda eludir la revisión; usa el comando de prueba existente del repositorio para verificar los casos afectados.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Stage 2's bare-name checks resolve PATH differently from the shell, so a local script run by bare name can reach the reviewer as shape A with no body attached.

PATH=":/opt/homebrew/bin:..."   (or ".", or "bin")

shell:   cd sub && tool  ─▶ sub/tool        (a script nobody read)
onPath:  tool            ─▶ /opt/homebrew/bin/tool, or nothing
                            empty entry skipped, relative ones read from the gate's cwd

onPath in stage-two.ts skips empty entries (if (dir === "") continue;), but POSIX reads an empty entry as the current directory. It also joins relative entries against the gate process's cwd, while the shell uses the command's own directory after any cd. So shapeARefusal's "a local script run by name" check and programNames' link resolution can both miss the file the shell really runs.

User impact: when PATH has an empty or relative entry, an UNSURE command that runs a planted script by bare name can be allowed by a reviewer that never saw the script.

https://github.com/STRML/omp-classifier/pull/205 closed this for the timeout form only. It refuses that form whenever PATH has a non-absolute entry. The likely fix is the same check inside scriptsForReview, before shape A, for every bare name.

Lenguaje dominante
TypeScript
Estrellas
0
Forks
1
Merge medio
1 h 6 min
PR fusionados (30 d)
46

Preparar el entorno

Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de STRML/omp-classifier

Todos los issues de STRML/omp-classifier

Issues similares

Más issues de TypeScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.