False negative: unzip using subprocess or `shutil.unpack_archive` is not covered in py/tarslip

評估

這個 Issue 還沒有評估資料。

描述

 import tarfile, sys, shutil, zipfile, subprocess
 unsafe_filename = sys.argv[1]
 tar = tarfile.open(unsafe_filename) 
 tar.extractall() # detected
 # 1. shutil 
 shutil.unpack_archive(unsafe_filename, "out") # not detected
 # 2. subprocess
 subprocess.run(["tar", "-xf", unsafe_filename]) # not detected

貢獻指南

開啟貢獻指南

從這裡開始

1. 先讀完整個 Issue，再讀專案的貢獻指南。
2. 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
3. Fork 儲存庫，在一個分支上完成修改。
4. 送出 Pull Request，並在描述裡引用這個 Issue 編號。

github/codeql 的其他 Issue

• JavaScript externs model StorageEvent() with no type argument 未關閉

  難度 2/5 1-3 小時 新手友好度 84/100

  github/codeql#22632 · 2026年9月20日 建立

• C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal 未關閉

  難度 2/5 1-3 小時 新手友好度 82/100

  github/codeql#22556 · 2026年9月14日 建立

• Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) 未關閉

  難度 2/5 1-3 小時 新手友好度 78/100

  github/codeql#21637 · 2 則留言 · 2026年4月2日 建立

• Organization owned immutable actions raise warning about unpinned 3rd party actions tag 未關閉
  false-positive

  難度 2/5 1-3 小時 新手友好度 70/100

  github/codeql#21076 · 3 則留言 · 3 個 reaction · 2025年12月21日 建立

• Python: `isType` treats any object in a module named `*typing` as a type, corrupting points-to for unrelated containers 未關閉
  false-positive

  難度 3/5 1-2 天 新手友好度 68/100

  github/codeql#22621 · 2026年9月18日 建立

查看 github/codeql 的全部 Issue