fix(releases): secret scan skips UTF-16 BOM files outside text extensions
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 83/100
- issue の種類
- バグ
- 明瞭さ
- 明確に書かれている
- 活発さ
- 活発
- 技術スタック
- typescript
- 領域
- security
調査の方向性
apps/web/app/lib/releases/release-scan.tsから始めて、スキャンがUTF-16 BOM付きのファイルをどのようにデコードし、シークレットスキャンを適用するかを追ってください。UTF-16LE BOM付きで、x.regのようなテキスト以外の拡張子を持つファイルと、偽のAWSアクセスキーを使ったテストを追加してください。スキャンサイズの上限を守りながら、そのファイルについてsecret-aws-access-key-idが報告されれば完了です。
索引モデルが issue の本文から書いたものです。
説明
Problem
The release content scanner (apps/web/app/lib/releases/release-scan.ts) only decodes UTF-16 (BOM) files whose extension is in mustBeText. A UTF-16 BOM file with another extension (e.g. x.reg) is not decoded, so the secret scan misses credentials inside it.
Repro
Publish a release containing x.reg (UTF-16LE with BOM) holding a fake AWS access key id → state published, no findings. The same bytes named x.ps1 → quarantined (secret-aws-access-key-id).
Suggested fix
Decode any file starting with a UTF-16 BOM (within the scan size cap) for the secret scan, regardless of extension. Add a test.
Found during isolated review of nextlevelbuilder/skillx#96 (pre-existing, not a regression).
- 主要言語
- TypeScript
- スター
- 190
- フォーク
- 42
- 平均マージ
- 7時間 31分
- マージ済み PR（30日）
- 43
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
nextlevelbuilder/skillx のほかの issue
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
nextlevelbuilder/skillx#28 ·
メンテナーはふだん 1 日以内に返信
-
refactor
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
nextlevelbuilder/skillx#27 ·
メンテナーはふだん 1 日以内に返信
-
ai-handle
難易度 3/5 1〜2日 初心者へのやさしさ 72/100
nextlevelbuilder/skillx#113 ·
メンテナーはふだん 1 日以内に返信
-
feat(quality-packs): QGP foundation packs, private overrides và three-way rebase giữ nguyên opt-outオープンenhancement
難易度 5/5 1週間以上 初心者へのやさしさ 18/100
nextlevelbuilder/skillx#108 ·
メンテナーはふだん 1 日以内に返信
-
feat(private-library): publish skills/kits riêng tư và đồng bộ đa thiết bị, kèm DoD với AgentKitオープンenhancement
難易度 5/5 1週間以上 初心者へのやさしさ 10/100
nextlevelbuilder/skillx#107 ·
メンテナーはふだん 1 日以内に返信
nextlevelbuilder/skillx の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
chaitin/MonkeyCode#1437 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 69/100
carbon-design-system/carbon-ai-chat#2615 ·
メンテナーはふだん 1 日以内に返信
-
e2e-failure ready-to-code
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
redhat-developer/rhdh-plugin-export-overlays#4486 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
[Bug]: fileUploadMatrix.test.ts URL case does a real DNS lookup and fails offline対応中かも @r2jaff が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
ComposioHQ/composio#5054 ·
メンテナーはふだん 1 日以内に返信