Docker und CI/CD · Senior · Frage 31 von 75
Warum ist pull_request_target mit einem Checkout des PR-Codes gefährlich?
- 1Fremder PR-Code läuft mit Secrets und Token
- 2Es mergt den PR, bevor die Tests fertig sind
- 3Es läuft immer nur auf Self-hosted Runnern
Antwort zeigen
Richtige Antwort: Fremder PR-Code läuft mit Secrets und Token
Erklärung
Das Ereignis läuft im Kontext des Basis-Repos, um Labels zu setzen und zu kommentieren. Dort den Code des PR zu bauen lässt das postinstall eines Angreifers Secrets stehlen: ein klassischer „Pwn Request“.