pvharmo2/gha-lab-232af4821f
Laboratorio de investigación en seguridad que reproduce CVE-2021-4281 (GHSA-3796-3f93-cfvx): inyección de comandos de shell a través del nombre de la rama head del PR en .github/workflows/combine-prs.yml (instantánea de BraveUX/for-the-badge @ 409c1fda). No usar; solo reproducción autorizada.
Artefacto de investigación automatizado — no es el proyecto original.
Este repositorio es un laboratorio desechable construido por un sistema automatizado para una tesis de maestría en la Université Laval sobre la reproducción de vulnerabilidades publicadas en flujos de trabajo de GitHub Actions. Es una instantánea verbatim de
BraveUX/for-the-badgeen el commit409c1fda3477b8dd05f3289926e08d88edd5a664(2021-07-20), redistribuida bajo la licencia propia de ese proyecto.El proyecto original no está involucrado, nunca es el objetivo, y la vulnerabilidad estudiada aquí ya es pública. Cada secreto y variable en este repositorio es un valor ficticio generado aleatoriamente — no hay ninguna credencial real. Las referencias de acciones y las imágenes de ejecutores están fijadas a lo que resolvieron el 2021-07-20; consulta
pinning.mden la salida del sistema para cada cambio realizado en la instantánea.Preguntas u objeciones: [email protected]
# For the Badge
No desarrollamos por dinero, poder, fama o chicas de código. Lo hacemos For the Badge. Todo comenzó por una obsesión con dos palabras: . Todo terminó con esto: .
¿Te interesa que una insignia se publique en el sitio general? Envía una pull request con la insignia que te gustaría ver añadida y proporciona un enlace de Compartir insignia generado desde nuestro Generador For The Badge.
No todas las insignias serán aceptadas, pero si hay suficiente entusiasmo de la comunidad detrás de una insignia o si simplemente nos gusta mucho, ¡la añadiremos a la creciente lista de insignias!
¿Te interesa aprender más o ver el código detrás del Generador de insignias? Echa un vistazo al repositorio aquí.
La salida de Copiar Markdown está en Base64 para que la insignia no necesite estar alojada en ningún sitio. Desafortunadamente, esto significa que no se renderizará en muchos programas de markdown debido a problemas de seguridad, aunque ha habido numerosas propuestas para solucionarlo. No obstante, si deseas incluir una de estas insignias en tu propio markdown donde no se admita Base64, te sugiero que descargues la insignia y luego la subas al proyecto en el que deseas que se renderice. Es una pequeña molestia, pero sin duda es mejor que nada.
¿No es suficiente? Bueno, también puedes enviar una pull request para que la insignia se aloje en nuestro sitio For The Badge.
