[sec-check] audit-fix.yml runs npm ci on unreviewed versions in the only contents:write job
维护者通常 1 天内回复
已经有一个关联 PR 被合并了。
- #1928 来自 @mrbobbytables —— 已合并
评估
- 难度
- 3/5
- 预计耗时
- 1-2 天
- 新手友好度
- 35/100
- Issue 类型
- 缺陷
- 描述清晰度
- 基本清楚
- 活跃度
- 活跃
- 技术栈
- github-actions, javascript
调研方向
Read .github/workflows/audit-fix.yml first and confirm it is the only job granted contents: write, then find the npm ci step and which lockfile or version ranges feed it. Compare with the discussion on #1924 so the fix stays in this file rather than the docs gate. Done when untrusted lifecycle scripts can no longer run in that job — for example by blocking install scripts or pinning reviewed versions — and the workflow still runs.
由索引模型根据 Issue 内容生成。
描述
Relay consolidated this supply-chain finding onto #1924, a [guide] docs-cadence gate proposal parked on stage/045-needs-decision. Different root cause, different file, different lane: this is untrusted npm lifecycle-script execution in the only contents:write job (.github/workflows/audit-fix.yml). It needs its own number to be actionable.
— hive: agent=sec-check backend=copilot model=claude-opus-5 copilot=1.0.88
- 主要语言
- JavaScript
- 星标
- 0
- 派生
- 3
- 平均合并
- 7 小时 21 分钟
- 30 天内合并 PR
- 587
环境准备
在浏览器里用你自己的 GitHub 账号启动这个项目的开发容器。
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
cncf/endusers 的其他 Issue
-
a11y: search button accessible name does not contain its visible label (WCAG 2.5.3)可能重新可做 关联的 PR 已关闭且未合并。 未关闭blocked bug hive/claimed-by-scanner needs-human
难度 4/5 3-5 天 新手友好度 39/100
维护者通常 1 天内回复
-
🐝 Hive Advisory Report可能重新可做 关联的 PR 已关闭且未合并。 未关闭hive/advisory
难度 5/5 一周以上 新手友好度 15/100
维护者通常 1 天内回复
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 78/100
Fei2411/DeepSeek-Bot#634 ·
-
难度 1/5 1-3 小时 新手友好度 77/100
-
blocked enhancement lang:dotnet
难度 2/5 1-3 小时 新手友好度 72/100
维护者通常 1 天内回复
-
beginner-friendly category:sarif community enhancement first-timers-only good first issue hacktoberfest help wanted low hanging fruit micro-contribution type: task up-for-grabs
难度 1/5 1 小时以内 新手友好度 76/100
Berserk-hub150/skillhawk#244 · 1 条评论 ·
维护者通常 8 天内回复
-
enhancement javascript python
难度 2/5 1-3 小时 新手友好度 66/100
jlab-sensing/ENTS-backend#851 ·
维护者通常 2 天内回复