Ricerca · 132 giorni fa

Gli anchor YAML hanno esposto punti ciechi nella scansione dei workflow GitHub

La vecchia gestione degli anchor di zizmor faceva più che mancare un caso limite. Creava punti ciechi dell’analizzatore in validi workflow GitHub Actions, quindi una scansione pulita poteva comunque lasciare non verificata una configurazione errata di pull_request_target. Questo conta perché il recente exploit della supply chain di Trivy ha mostrato come questi errori del workflow si trasformino in furto di secret e compromissione a valle.

Cronologia

• 22 mag Segnalato da Trail of Bits

Fonti

1 fonte che coprono questa storia

• Trail of Bits 22 mag

  We hardened zizmor's GitHub Actions static analyzer

  We improved YAML anchor support in zizmor and tested it against 41,253 real-world GitHub Actions workflows from high-value open-source projects.

Part of the PlainSec briefing for 2026-05-22

Editions

• Briefing for 2026-05-22

Storie correlate

• GitHub Actions è diventato un nastro trasportatore per il furto di secret