ci: audit

[shanexi]

No description provided.

[vercel]

The latest updates on your projects. Learn more about Vercel for Git ↗︎

Name	Status	Preview	Updated (UTC)
shell-agent	✅ Ready (Inspect)	Visit Preview	Mar 10, 2025 4:32am

[shanexi]

安全审计报告

涉及代码

curl -X POST -H "Content-Type: text/plain" -H "X-PR-Number: $PR_NUMBER" -H "x-secret: ${{ secrets.X_SECRET}}" --data-binary @commit_diff.txt ${{ secrets.N8N_AUDIT_WEBHOOK_TEST }}

问题

命令注入漏洞：未经过滤的 $PR_NUMBER 变量直接用于 curl 命令中，攻击者可能通过恶意注入修改请求行为。

安全风险等级

高风险

修复建议

使用引号包围变量，并确保对 $PR_NUMBER 进行适当验证和转义：curl -X POST -H "Content-Type: text/plain" -H "X-PR-Number: \"${PR_NUMBER}\"" ...

[shanexi]

安全审计报告

发现问题 1

涉及代码：

curl -X POST -H "Content-Type: text/plain" -H "X-PR-Number: $PR_NUMBER" -H "x-secret: ${{ secrets.X_SECRET}}" --data-binary @commit_diff.txt ${{ secrets.N8N_AUDIT_WEBHOOK }}

问题：
命令注入漏洞 (Command Injection) - PR_NUMBER 变量未经验证直接用于命令行参数

安全风险等级：
高

修复建议：
对 PR_NUMBER 变量进行严格的验证，确保其只包含数字，例如：[[ "$PR_NUMBER" =~ ^[0-9]+$ ]] || { echo "Invalid PR number"; exit 1; }，或使用引号包围变量以避免命令注入：-H "X-PR-Number: ${PR_NUMBER}"

[shanexi]

审计报告

涉及代码

curl -X POST -H "Content-Type: text/plain" -H "X-PR-Number: $PR_NUMBER" -H "x-secret: ${{ secrets.X_SECRET}}" --data-binary @commit_diff.txt ${{ secrets.N8N_AUDIT_WEBHOOK }}

问题

命令注入漏洞（Command Injection）- PR_NUMBER 变量未经充分验证就用于构建命令行参数。

安全风险等级

高风险

修复建议

对 PR_NUMBER 变量进行严格的输入验证和转义处理，确保它只包含预期格式的数字。可使用正则表达式验证（如 [[ $PR_NUMBER =~ ^[0-9]+$ ]]）或使用 jq 等工具安全处理 GitHub 环境变量。