ShellEscape aint always escaping shells

未关闭

#19,906 创建于 2025年6月27日 4 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 4/5
预计耗时: 3-5 天
新手友好度: 32/100

Issue 类型: 缺陷
描述清晰度: 需要澄清
活跃度: 停滞
领域: security

调研方向

从 ruby/ql/lib/codeql/ruby/security/CommandInjectionCustomizations.qll 第 53 行附近开始，检查 shellescape() 是如何被识别的。验证任意用户定义函数是否都能满足 sanitizer 检查，然后确定预期行为以及应如何覆盖该行为。完成的标准是该查询不再将无关的 dummy 函数视为有效的 sanitization。

由索引模型根据 Issue 内容生成。

描述

Ruby

Hey,

Does not this line mean if a user has defined a dummy function called shellescape() would be considered as a valid sanitizer ?

https://github.com/github/codeql/blob/e02affd327603e89519b67ceffc7e60948831cc1/ruby/ql/lib/codeql/ruby/security/CommandInjectionCustomizations.qll#L53

Thank you

主要语言: CodeQL
星标: 10.1k
派生: 2.1k
平均合并: 2 天 10 小时
30 天内合并 PR: 134

贡献指南

打开贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

github/codeql 的其他 Issue

JavaScript externs model StorageEvent() with no type argument 未关闭

难度 2/5 1-3 小时新手友好度 84/100

github/codeql#22632 · 2026年9月20日创建
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal 未关闭

难度 2/5 1-3 小时新手友好度 82/100

github/codeql#22556 · 2026年9月14日创建
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) 未关闭

难度 2/5 1-3 小时新手友好度 78/100

github/codeql#21637 · 2 条评论 · 2026年4月2日创建
Organization owned immutable actions raise warning about unpinned 3rd party actions tag 未关闭

false-positive

难度 2/5 1-3 小时新手友好度 70/100

github/codeql#21076 · 3 条评论 · 3 个 reaction · 2025年12月21日创建
Python: `isType` treats any object in a module named `*typing` as a type, corrupting points-to for unrelated containers 未关闭

false-positive

难度 3/5 1-2 天新手友好度 68/100

github/codeql#22621 · 2026年9月18日创建

查看 github/codeql 的全部 Issue

相似的 Issue

Reflected XSS in loopback OAuth callback via error_description 未关闭

难度 2/5 1-3 小时新手友好度 78/100

punkpeye/mcp-remote#369 · 2026年9月23日创建
qs-6.15.2.tgz: 2 vulnerabilities (highest severity is: 5.3) 未关闭

Mend: dependency security vulnerability untriaged

难度 1/5 1 小时以内新手友好度 86/100

opensearch-project/opensearch-api-specification#1250 · 2026年9月22日创建
Setup page for elementary OS omits warning about unpatched pre-installed Flatpak (1.14.6) 未关闭

难度 2/5 1-3 小时新手友好度 68/100

flathub/flathub#10349 · 2026年9月22日创建
CVE-2024-24786 CPE mismatch 未关闭

bug

难度 1/5 1 小时以内新手友好度 90/100

cisagov/vulnrichment#337 · 2026年9月22日创建
[BUG - Public]Need user friendly error when trying to create a new account with subaddressing an existing email. 未关闭

bug DUP Reservations

难度 2/5 1-3 小时新手友好度 68/100

bcgov/reserve-rec-public#896 · 2026年9月22日创建

更多 Security Issue