sisaku-security

Le issue su cui forse qualcuno sta già lavorando sono in fondo alla lista. Ordina tutto per data

• fix: Recognize the vulnerability-alerts GITHUB_TOKEN permission

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 88/100

  sisaku-security/sisakulint#654 · Aperta il 11/10/2026

• feat: Support background, wait, wait-all, and cancel step syntax

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 54/100

  sisaku-security/sisakulint#653 · Aperta il 11/10/2026

• fix: Recognize self-repository ($/) action and reusable workflow references

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 54/100

  sisaku-security/sisakulint#652 · Aperta il 11/10/2026

• feat: Support cache-mode in workflow parsing and cache access analysis

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 38/100

  sisaku-security/sisakulint#651 · Aperta il 11/10/2026

• fix: Account for actions/checkout fork-PR protections in untrusted-checkout

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 58/100

  sisaku-security/sisakulint#650 · Aperta il 11/10/2026

• ai-action-unsafe-sandbox: `danger-full-access` is checked on `safety-strategy`, where it cannot appear — `sandbox` / `permission-profile` are never read

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 68/100

  sisaku-security/sisakulint#648 · Aperta il 20/9/2026

• ai-action-unsafe-sandbox: `--dangerously-skip-permissions` is never reported; the spelling the rule matches is not a Claude Code flag

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 88/100

  sisaku-security/sisakulint#647 · Aperta il 20/9/2026

• ai-action-excessive-tools: `Bash(...)` grants are never reported (FN), and `--disallowedTools` entries are reported as granted (FP)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100

  sisaku-security/sisakulint#646 · Aperta il 20/9/2026

• deprecated-node-runtime: misses softprops/action-gh-release@v2 (node20) and codex-action's composite setup-node (missed while triaging #1557)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100

  sisaku-security/sisakulint#634 · Aperta il 30/8/2026

• deprecated-node-runtime: add actions/setup-java to nodeRuntimeFirstNode24Major (missed while triaging #1543)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 1/5 Meno di un'ora Idoneità per principianti 88/100

  sisaku-security/sisakulint#630 · 1 commento · Aperta il 29/8/2026

• envvar-injection, argument-injection, request-forgery: cross-job findings register no autofix

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 5/5 Più di una settimana Idoneità per principianti 52/100

  sisaku-security/sisakulint#629 · 1 commento · Aperta il 28/8/2026

• envpath-injection: a repeated identical expression multiplies findings

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 55/100

  sisaku-security/sisakulint#623 · Aperta il 26/8/2026

• envpath-injection autofix: emitted `realpath "$VAR"` has neither `-m` nor `--`

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100

  sisaku-security/sisakulint#622 · 1 commento · Aperta il 26/8/2026

• dependabot-ecosystem: false positive — setup-python without any Python manifests (no-op pip recommendation)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 55/100

  sisaku-security/sisakulint#620 · Aperta il 26/8/2026

• deprecated-node-runtime: deploy-pages / configure-pages not in offline node24 table (missed HIGHs in API/WASM mode)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 88/100

  sisaku-security/sisakulint#619 · Aperta il 25/8/2026

• deprecated-node-runtime: add deploy-pages/setup-android/upload-pages-artifact to nodeRuntimeFirstNode24Major (missed while triaging #1509)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100

  sisaku-security/sisakulint#617 · Aperta il 25/8/2026

• action-list: reusable workflows called with `jobs.<job_id>.uses` are never matched against the list

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 56/100

  sisaku-security/sisakulint#616 · Aperta il 24/8/2026

• untrusted-checkout: false-positive CRITICAL on workflow_run + needs.<job>.outputs.* refs gated by event=='push'

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100

  sisaku-security/sisakulint#615 · Aperta il 24/8/2026

• cache-bloat: FP — push-vs-PR conditions are nonsensical (and the autofix is breaking) for workflows without a push trigger

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  area/cache bug

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 78/100

  sisaku-security/sisakulint#613 · Aperta il 23/8/2026

• code-injection-medium: FP — unquoted param expansion in an assignment RHS is not a splitting/glob vector

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  area/taint-analysis bug

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 74/100

  sisaku-security/sisakulint#612 · Aperta il 23/8/2026

• dangerous-triggers-critical: cache-write discount yields false critical for privileged-trigger workflows that never execute untrusted code

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100

  sisaku-security/sisakulint#611 · Aperta il 23/8/2026

• config: `self-hosted-runner.labels` is parsed but no rule reads it

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100

  sisaku-security/sisakulint#610 · Aperta il 22/8/2026

• deprecated-node-runtime: add pnpm/action-setup to nodeRuntimeFirstNode24Major

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 1/5 Meno di un'ora Idoneità per principianti 88/100

  sisaku-security/sisakulint#604 · Aperta il 20/8/2026

• injection family: an unused step `env:` entry silences the finding while the expression is still interpolated inline

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 68/100

  sisaku-security/sisakulint#603 · Aperta il 19/8/2026

• secret taint source is dot-notation only: `secrets['NAME']` silences secret-in-log and secret-exfiltration

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 72/100

  sisaku-security/sisakulint#602 · Aperta il 19/8/2026

• secrets-inherit: `-fix on` reports "Fixed workflow" but the file is unchanged and the finding remains

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 58/100

  sisaku-security/sisakulint#601 · 1 commento · Aperta il 19/8/2026

• output-clobbering: `-fix on` writes a heredoc with a constant delimiter, so the finding it silences can still be triggered

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100

  sisaku-security/sisakulint#598 · Aperta il 18/8/2026

• secret-in-log: FP — command-substitution output tainted when secret appears only as an argument (curl Authorization header)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 68/100

  sisaku-security/sisakulint#594 · 1 commento · Aperta il 17/8/2026

• output: severity is expressed three different ways (rule-name suffix, message text, (info) prefix) and never as a field

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100

  sisaku-security/sisakulint#593 · Aperta il 16/8/2026

• untrusted-checkout: false-positive Critical on workflow_call jobs when ref: doesn't reference inputs.*

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 78/100

  sisaku-security/sisakulint#587 · Aperta il 14/8/2026

• syntax: false-positive HIGH on job-level 'snapshot:' key (larger-runner custom image feature)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 72/100

  sisaku-security/sisakulint#586 · Aperta il 14/8/2026

• cache-poisoning: hasExternalTrigger treats workflow_dispatch/schedule as attacker-controlled

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 45/100

  sisaku-security/sisakulint#585 · Aperta il 13/8/2026

• cache-poisoning: hierarchy-exploitation check ignores run_id-scoped cache keys and treats workflow_dispatch as an external trigger

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 65/100

  sisaku-security/sisakulint#584 · Aperta il 13/8/2026

• False positive + detection gap: parser doesn't recognize GitHub Actions "parallel:" step syntax

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 78/100

  sisaku-security/sisakulint#582 · Aperta il 10/8/2026

• untrusted-checkout: false-positive CRITICAL on workflow_call inputs.* refs (no caller-taint check)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  bug

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 78/100

  sisaku-security/sisakulint#580 · Aperta il 9/8/2026

• artifact-poisoning-critical: hasCheckout heuristic misses same-run publish jobs that checkout for metadata only

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100

  sisaku-security/sisakulint#568 · Aperta il 2/8/2026

• artifact-poisoning-critical: false positive on same-run, trusted-trigger build→release artifact downloads

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 72/100

  sisaku-security/sisakulint#562 · Aperta il 28/7/2026

• artifact-poisoning-critical ignores action version/trust-boundary, contradicting its own advisory's Safe Pattern

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  area/supply-chain bug

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100

  sisaku-security/sisakulint#560 · Aperta il 27/7/2026

• fix(parser): accept concurrency.queue

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 68/100

  sisaku-security/sisakulint#554 · Aperta il 14/7/2026

• HardcodedPassword の Workload D drift を解消し comparison.md を再計測する

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  bug priority/p2

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100

  sisaku-security/sisakulint#552 · Aperta il 11/7/2026

• untrusted-checkout / artifact-poisoning-critical: systemic false positives on trusted release pipelines (found via NVIDIA/OpenShell scan)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 5/5 Più di una settimana Idoneità per principianti 45/100

  sisaku-security/sisakulint#550 · 2 commenti · Aperta il 11/7/2026

• artifact-poisoning-critical: トリガー/run境界を考慮せずCriticalを過大検知する

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 70/100

  sisaku-security/sisakulint#539 · Aperta il 9/7/2026

• secret-in-log: false positive on echo piped into a file-redirecting command (e.g. base64 -d > file)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 84/100

  sisaku-security/sisakulint#537 · Aperta il 8/7/2026

• rule-name convention: untrusted-checkout-toctou/{critical,high} use '/' while all other rules use '-'

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  question

  Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100

  sisaku-security/sisakulint#535 · Aperta il 6/7/2026

• artifact-poisoning-medium: 3-entry UntrustedTriggers misses issues/discussion_comment/pull_request_review workflows (false negative)

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  area/supply-chain bug

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 68/100

  sisaku-security/sisakulint#534 · Aperta il 6/7/2026

• autofix collision: cache-poisoning-poisonable-step deletes the 'with: ref:' that untrusted-checkout-toctou/critical just fixed

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  area/cache bug

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 45/100

  sisaku-security/sisakulint#533 · Aperta il 6/7/2026

• impostor-commit: fail-open with no GitHub token — 0 findings and no rule-level warning

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  area/supply-chain bug

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100

  sisaku-security/sisakulint#532 · Aperta il 6/7/2026

• Consolidate envpath autofix shell scope/shadow analysis into pkg/shell

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100

  sisaku-security/sisakulint#530 · Aperta il 4/7/2026

• envpath autofix: exec >> $GITHUB_PATH redirection established inside a function is not propagated to the caller scope

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100

  sisaku-security/sisakulint#529 · Aperta il 4/7/2026

• Epic: injection-family autofix correctness & cross-rule consistency hardening

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  area/taint-analysis epic

  Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100

  sisaku-security/sisakulint#502 · Aperta il 28/5/2026