Всем привет!
По ссылке доступна статья от Авторов SonarQube, в которой они разбирают чем он может быть полезен при анализе GitHub Actions.
После небольшого введения про GitHub Actions, рассматривается несколько сценариев атак.
Например:
🍭 Command Injection, реализуемая через
github.event.issue.title🍭 Command Injection, реализуемая через
pull_request_target🍭 Code Execution, через выполнение Third Party Action
Для каждого из рассматриваемых примеров приводятся рекомендации по предотвращению, ссылки на полезные материалы по теме и идентификационные номера уязвимостей, которые рассматриваются в статье для дальнейшего изучения.
