Actions: Add warning/finding when using actions/create-github-app-token without permissions

Đang mở

#21,264 mở ngày 3/2/2026 2 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó: 5/5
Thời gian dự kiến: Hơn một tuần
Mức phù hợp với người mới: 35/100

Loại issue: Tính năng
Độ rõ ràng: Cần làm rõ
Mức độ hoạt động: Đình trệ
Công nghệ: github-actions
Lĩnh vực: ci-cd, security

Hướng nghiên cứu

Bắt đầu bằng cách xem xét action actions/create-github-app-token và cách CodeQL phân tích các workflow của GitHub Actions. Xác định điều kiện kích hoạt cảnh báo và cách xử lý mong đợi đối với các workflow bỏ qua permissions, sau đó thêm coverage cho thấy phát hiện này đối với cấu hình liên quan.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

question

Description of the issue
You can use https://github.com/actions/create-github-app-token to create an app installation token. Depending on the app, it can have broad permissions. Unfortunately, the action does not use permissions-none as default, but all the permissions of the app.

So CodeQL could warn when using this app without setting permissions.

Ngôn ngữ chính: CodeQL
Star: 10.1k
Fork: 2.1k
Merge trung bình: 2 ngày 16 giờ
Pull request đã merge (30 ngày): 143

Hướng dẫn đóng góp

Mở hướng dẫn đóng góp

Bắt đầu từ đâu

Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
Fork repository và làm thay đổi trên một nhánh.
Mở pull request có tham chiếu số hiệu của issue.

Issue khác của github/codeql

[aw] Update rust-analyzer has stale lock file Đang mở

agentic-workflows

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100

github/codeql#22656 · Mở ngày 23/9/2026
JavaScript externs model StorageEvent() with no type argument Đang mở

false-positive javascript

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 84/100

github/codeql#22632 · 1 bình luận · Mở ngày 20/9/2026
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal Đang mở

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100

github/codeql#22556 · Mở ngày 14/9/2026
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) Đang mở

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100

github/codeql#21637 · 2 bình luận · Mở ngày 2/4/2026
Organization owned immutable actions raise warning about unpinned 3rd party actions tag Đang mở

false-positive

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100

github/codeql#21076 · 3 bình luận · 3 reaction · Mở ngày 21/12/2025

Tất cả issue của github/codeql

Issue tương tự

Add dependabot Đang mở

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100

TanStack/ai#1462 · Mở ngày 23/9/2026
harbor-db: missing STOPSIGNAL turns every container stop into an unclean shutdown Đang mở

Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 75/100

goharbor/harbor#23989 · Mở ngày 23/9/2026
[oblt-aw][security] SEC-022 — findings (2026-09-23) Đang mở

oblt-aw/detector/security

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100

elastic/oblt-aw#2127 · 1 reaction · Mở ngày 23/9/2026
[Failed pipeline] github_actions in / - Update #1587834189 Đang mở

Type: AVM :a: :v: :m: Type: Bug :bug:

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 65/100

Azure/bicep-registry-modules#7386 · 1 bình luận · Mở ngày 23/9/2026
Previews are built in development mode, so clicking a contributor card 404s Đang mở

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100

jenkins-infra/contributor-spotlight#719 · Mở ngày 23/9/2026

Thêm issue về DevOps