Keeping your GitHub Actions and workflows secure Part 2: Untrusted input

Keeping your GitHub Actions and workflows secure Part 2: Untrusted input Jaroslav Lobacevski This post is the second in a series of posts about GitHub Actions security. Part 1, Part 3 We previously discussed the misuse of the pull_request_target trigger within GitHub Actions and workflows. In this follow-up piece, we will discuss possible avenues of abuse that may result in code and command inject

[teppeis]

GitHub Actionsワークフローにおける埋め込み変数によるコマンドインジェクション。一度envを経由するのがベストプラクティス

[Kesin]

Github ActionsのDSLとしての機能が豊富なのは便利だったけど、こうしてみるとパンドラの箱を開けてしまった感がある。envにセットして環境変数として参照すれば直接評価されないので対策になるということか

[efcl]

GitHub Actionsで `${{ github.event.* }}` でユーザー入力をそのまま`run:`に埋め込むとをシェルスクリプトとして評価してしまう問題について。 基本的には `env:` 経由で渡すことで、任意のコード実行はできないようにする

[miya-jan]

GitHub Actions で context として受け取れる issue 本文などのユーザーインプットを下手に扱うと発生する脆弱性について。特に expressions でスクリプトにそのまま埋め込むと危険。