pvharmo2/gha-lab-232af4821fЛаборатория исследований безопасности, воспроизводящая CVE-2021-4281 (GHSA-3796-3f93-cfvx): внедрение shell-команд через имя head-ветки PR в .github/workflows/combine-prs.yml (снимок BraveUX/for-the-badge @ 409c1fda). Не использовать; только авторизованное воспроизведение.
Автоматизированный исследовательский артефакт — не вышестоящий проект.
Этот репозиторий — одноразовая лаборатория, созданная автоматизированным конвейером для магистерской диссертации в Université Laval по воспроизведению опубликованных уязвимостей рабочих процессов GitHub Actions. Это точный снимок
BraveUX/for-the-badgeна коммите409c1fda3477b8dd05f3289926e08d88edd5a664(2021-07-20), распространённый под собственной лицензией этого проекта.Вышестоящий проект не участвует, не является целью, а изученная здесь уязвимость уже публична. Каждый секрет и переменная в этом репозитории — случайно сгенерированные фиктивные значения; никаких реальных учётных данных здесь нет. Ссылки на действия и образы раннеров закреплены на те значения, которым они соответствовали на 2021-07-20; см.
pinning.mdв выводе конвейера для каждого изменения, внесённого в снимок.Вопросы или возражения: [email protected]
# For the Badge
Мы разрабатываем не ради денег, власти, славы или кодеров. Мы делаем это For the Badge. Всё началось из-за одержимости двумя словами: . Всё закончилось вот этим: .
Хотите, чтобы бейдж был добавлен на общий сайт? Отправьте pull request с бейджем, который вы хотели бы видеть, и укажите ссылку Share Badge, сгенерированную нашим Генератором For The Badge.
Не все бейджи будут приняты, но если бейдж получит достаточную поддержку сообщества или если он нам просто очень понравится, мы добавим его в растущий список бейджей!
Хотите узнать больше или посмотреть код Генератора бейджей? Загляните в репозиторий здесь.
Вывод Copy Markdown закодирован в Base64, чтобы бейдж не нужно было нигде размещать. К сожалению, из-за проблем безопасности это означает, что он не будет отображаться во многих программах для Markdown, хотя было множество заявок на решение этой проблемы. Тем не менее, если вы хотите включить такой бейдж в свою разметку, где Base64 не поддерживается, я предлагаю скачать бейдж и загрузить его в проект, в котором вы хотите его отобразить. Это небольшое неудобство, но это точно лучше, чем ничего.
Недостаточно? Что ж, вы также можете отправить pull request, чтобы бейдж был размещён на нашем сайте For The Badge.
