fix(releases): secret scan skips UTF-16 BOM files outside text extensions
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 83/100
- Issue 类型
- 缺陷
- 描述清晰度
- 描述清楚
- 活跃度
- 活跃
- 技术栈
- typescript
- 领域
- security
调研方向
从 apps/web/app/lib/releases/release-scan.ts 开始，追踪扫描如何解码带有 UTF-16 BOM 的文件并应用密钥扫描。添加一个测试，使用带有 UTF-16LE BOM、扩展名为 x.reg 这类非文本扩展名的文件，以及一个伪造的 AWS 访问密钥。当扫描在遵守扫描大小上限的同时，为该文件报告 secret-aws-access-key-id 时，即为完成。
由索引模型根据 Issue 内容生成。
描述
Problem
The release content scanner (apps/web/app/lib/releases/release-scan.ts) only decodes UTF-16 (BOM) files whose extension is in mustBeText. A UTF-16 BOM file with another extension (e.g. x.reg) is not decoded, so the secret scan misses credentials inside it.
Repro
Publish a release containing x.reg (UTF-16LE with BOM) holding a fake AWS access key id → state published, no findings. The same bytes named x.ps1 → quarantined (secret-aws-access-key-id).
Suggested fix
Decode any file starting with a UTF-16 BOM (within the scan size cap) for the secret scan, regardless of extension. Add a test.
Found during isolated review of nextlevelbuilder/skillx#96 (pre-existing, not a regression).
- 主要语言
- TypeScript
- 星标
- 190
- 派生
- 42
- 平均合并
- 5 小时 50 分钟
- 30 天内合并 PR
- 37
环境准备
这个项目没有提供开发容器、Dockerfile 或贡献指南，环境需要你自己搭建：先看它的 README，通用步骤见我们的新手贡献指南。
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
nextlevelbuilder/skillx 的其他 Issue
-
bug
难度 2/5 1-3 小时 新手友好度 76/100
nextlevelbuilder/skillx#28 ·
维护者通常 1 天内回复
-
refactor
难度 2/5 1-3 小时 新手友好度 82/100
nextlevelbuilder/skillx#27 ·
维护者通常 1 天内回复
-
feat(compatibility): write declared compatibility_json on publish, sync and backfill可能已有人在做 @mrgoonie 于 1 天前认领。 未关闭
nextlevelbuilder/skillx#119 · 已指派 1 人 ·
维护者通常 1 天内回复
-
ai-handle
难度 3/5 1-2 天 新手友好度 72/100
nextlevelbuilder/skillx#113 ·
维护者通常 1 天内回复
-
feat(quality-packs): QGP foundation packs, private overrides và three-way rebase giữ nguyên opt-out未关闭enhancement
难度 5/5 一周以上 新手友好度 18/100
nextlevelbuilder/skillx#108 ·
维护者通常 1 天内回复
查看 nextlevelbuilder/skillx 的全部 Issue
相似的 Issue
-
level/task type/bug
难度 2/5 1-3 小时 新手友好度 75/100
wazuh/wazuh-dashboard-plugins#9508 ·
维护者通常 1 天内回复
-
Testnet EOL page links Zonescan mainnet可能已有人在做 @napelvs 今天认领。 未关闭
难度 1/5 1 小时以内 新手友好度 76/100
-
难度 2/5 1-3 小时 新手友好度 78/100
Azure-Samples/azure-search-openai-demo#3249 ·
维护者通常 1 天内回复
-
[Docs] docs/architecture.mermaid leaves out 21 of the 51 src/ directories可能已有人在做 @uyg7x 今天认领。 未关闭
难度 2/5 1-3 小时 新手友好度 75/100
维护者通常 1 天内回复
-
enhancement status:needs-triage
难度 2/5 1-3 小时 新手友好度 68/100
dongdongbh/Mindwtr#1438 ·
维护者通常 1 天内回复