JonKazama-Hellion/Hellion-NewTab
1
0
Fork 0
Code Issues 1 Pull Requests Actions Packages Projects Releases 11 Wiki Activity

fix(ci): gha-curl-pipe-shell in NewTab ausnehmen (false positive)
Code Quality / Validate Extension (push) Successful in 7s
Details
Security Scan (reusable) / Security Scan (push) Successful in 24s
Details
Security / scan (push) Successful in 24s
Details

Browse Source 
Die Regel schlaegt in release.yml an, beanstandet dort aber ein Muster,
das nicht gefaehrlich ist: Die curl-Ausgabe geht als JSON-Daten in ein
fest im Workflow stehendes python3-Skript und wird geparst, nicht
ausgefuehrt. Das ist nicht das gefaehrliche "curl url | bash", bei dem
der Server den auszufuehrenden Code liefert. Die URL zeigt zudem auf die
eigene Gitea-API, nicht auf einen fremden Host.
This commit is contained in:
JonKazama-Hellion
2026-08-15 21:32:03 +00:00
parent 7c68332e9e
commit aa6ecef2a2
1 changed files with 8 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files
.gitea/workflows/security.yml
+8
View File
@@ -14,3 +14,11 @@ on:
jobs: jobs:
scan: scan:
uses: JonKazama-Hellion/security-workflows/.gitea/workflows/security-scan.yml@main uses: JonKazama-Hellion/security-workflows/.gitea/workflows/security-scan.yml@main
with:
# gha-curl-pipe-shell schlaegt in release.yml an, ist dort aber ein
# False Positive: die curl-Ausgabe geht als JSON-Daten in ein fest im
# Workflow stehendes python3-Skript (`python3 -c '<fester code>'`) und
# wird geparst, nicht ausgefuehrt. Das ist nicht das gefaehrliche
# `curl url | bash`, bei dem der Server den Code liefert. Die URL zeigt
# zudem auf die eigene Gitea-API.
semgrep-exclude-rules: 'yaml.github-actions.security.gha-curl-pipe-shell.gha-curl-pipe-shell'