False negative: unzip using subprocess or `shutil.unpack_archive` is not covered in py/tarslip

评估

这个 Issue 还没有评估数据。

描述

 import tarfile, sys, shutil, zipfile, subprocess
 unsafe_filename = sys.argv[1]
 tar = tarfile.open(unsafe_filename) 
 tar.extractall() # detected
 # 1. shutil 
 shutil.unpack_archive(unsafe_filename, "out") # not detected
 # 2. subprocess
 subprocess.run(["tar", "-xf", unsafe_filename]) # not detected

贡献指南

打开贡献指南

从这里开始

1. 先读完整个 Issue，再读项目的贡献指南。
2. 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
3. Fork 仓库，在一个分支上完成修改。
4. 提交 Pull Request，并在描述里引用这个 Issue 编号。

github/codeql 的其他 Issue

• JavaScript externs model StorageEvent() with no type argument 未关闭

  难度 2/5 1-3 小时 新手友好度 84/100

  github/codeql#22632 · 2026年9月20日 创建

• C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal 未关闭

  难度 2/5 1-3 小时 新手友好度 82/100

  github/codeql#22556 · 2026年9月14日 创建

• Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) 未关闭

  难度 2/5 1-3 小时 新手友好度 78/100

  github/codeql#21637 · 2 条评论 · 2026年4月2日 创建

• Organization owned immutable actions raise warning about unpinned 3rd party actions tag 未关闭
  false-positive

  难度 2/5 1-3 小时 新手友好度 70/100

  github/codeql#21076 · 3 条评论 · 3 个 reaction · 2025年12月21日 创建

• Python: `isType` treats any object in a module named `*typing` as a type, corrupting points-to for unrelated containers 未关闭
  false-positive

  难度 3/5 1-2 天 新手友好度 68/100

  github/codeql#22621 · 2026年9月18日 创建

查看 github/codeql 的全部 Issue