Monkeytype CI-Workflow: Codeausführung mit erhöhtem Token über Fork-Pull-Request
Der Workflow zur Formatierungskorrektur im GitHub-Actions-Setup des Monkeytype-Repositorys läuft mit pull_request_target und Schreibrechten und führt Code aus einem Fork-Pull-Request aus. Ein externer Mitwirkender, dessen Pull-Request das Format-Label erhält, kann beliebigen Code ausführen, das GITHUB_TOKEN auslesen und Repository-Inhalte pushen oder Pull-Requests und Issues verändern. Die Typing-Test-Anwendung und die Benutzerdaten sind nicht betroffen.
monkeytypegame · Monkeytype
