CI workflows default to write-all permissions, and a couple of compose files are worth a second look
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 65/100
調査の方向性
.github/workflows/github-labeler.yml と platform-docker-build-test-publish.yml から始め、次に他の workflows を確認して必要な権限を調べます。docker-compose.yml:9 と docker-compose.pgpool.yml:25 を確認し、指摘された認証情報がローカル用のデフォルト値にすぎないことを確認します。workflows が最小権限の原則に従った権限を使用し、必要な job 固有の例外があり、実際の認証情報が commit されていなければ完了です。
索引モデルが issue の本文から書いたものです。
説明
| Issue | Where | Why it matters |
|---|---|---|
No explicit least-privilege permissions: block |
.github/workflows/github-labeler.yml, platform-docker-build-test-publish.yml, and about a dozen other workflows |
Workflows default to broad write access to the repo instead of only what each job needs |
| Basic Auth credential pattern flagged | docker-compose.yml:9, docker-compose.pgpool.yml:25 |
Probably local dev defaults, worth a quick look to confirm nothing real is committed here |
Suggested fix for the workflows, add a scoped block near the top:
permissions:
contents: read
Then widen only the specific jobs that need more, like pull-requests: write for the labeler.
Found this with InfraScan (https://github.com/SolDevelo/InfraScan), an open-source cost/security scanner covering Terraform, Kubernetes, Helm, CloudFormation, Ansible, and containers (Apache-2.0). If it's useful, it's a few lines to add as a GitHub Action (https://github.com/marketplace/actions/infrascan-iac-cost-security-scanner). Happy to open a PR wiring it up if you want.
- 主要言語
- Python
- スター
- 7.1k
- フォーク
- 603
- 平均マージ
- 3日 8時間
- マージ済み PR（30日）
- 102
環境構築
- Dockerfile または Docker Compose ファイルあり
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
Flagsmith/flagsmith のほかの issue
-
Expose whether an organisation is blocked for API usage対応中かも @PiUnknown が 26 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
Flagsmith/flagsmith#8773 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
メンテナーはふだん 1 日以内に返信
-
Environment colors mismatch in audit log view対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
Flagsmith/flagsmith#8681 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
influx_query_manager doesn't catch ApiException, so Influx error responses 500対応中かも @SAY-5 が 1 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
Flagsmith/flagsmith#8510 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
Sales dashboard: download_org_data 500s with "Object of type generator is not JSON serializable"対応中かも @Iflaqbhat が 45 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 86/100
メンテナーはふだん 1 日以内に返信
Flagsmith/flagsmith の issue をすべて見る
似ている issue
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 80/100
-
area:other help wanted
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100
WingedGuardian/GENesis-AGI#4734 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100
peach-mitao/peach#693 ·
メンテナーはふだん 1 日以内に返信
-
Failed result serialization destroys a previously saved JSON result対応中かも @chessing234 が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
huggingface/evaluate#867 ·
-
FTP reads inside a transaction use a nonexistent staging path対応中かも @Harsh23Kashyap が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
fsspec/filesystem_spec#2463 ·
メンテナーはふだん 1 日以内に返信