zizmorの audit。${{ ... }} テンプレート展開で信頼できない入力（PR タイトル、issue body、commit message、外部 ref 等）を直接 shell コマンドや式に埋め込むパターンを検出する
- dangerous-triggersと組み合わさると secrets が即座に外部送信できる
docs.zizmor.sh https://docs.zizmor.sh/audits/#template-injection
zizmor/
template-injection
neighbourhood
backlinks · 1
links · 2