Skip to content
New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

Fix vulnerabilities of dependencies #407

Merged

Conversation

ByungjunYou
Copy link
Contributor

fixture monkey 에서 사용 중인 dependency 중 보안취약점 이슈가 있는 버전을 해결된 버전으로 업데이트합니다.

gradle 프로젝트에 dependency 를 추가 시 아래와 같이 fixture monkey 에서 사용 중인 dependency 의 보안취약점에 대해 알림을 주고 있습니다.

스크린샷 2022-08-29 오후 5 16 48

@CLAassistant
Copy link

CLAassistant commented Sep 1, 2022

CLA assistant check
All committers have signed the CLA.

@ByungjunYou ByungjunYou force-pushed the bj/fix-dependencies-vulnerabilities branch from bf94939 to 9bd3e55 Compare September 15, 2022 09:45
@SooKim1110
Copy link
Contributor

@seongahjo

확실하진 않지만 HttpError: Resource not accessible by integration 에러가 나는게 GITHUB_TOKEN permission이 write가 아닌 read라서 나는 것 같습니다.
스크린샷 2022-10-02 오후 4 10 17

forked repository에서 PR을 올리면 permission이 read only로 보안상 바뀌는 것 같은데(아래 참고)
https://docs.github.com/en/actions/security-guides/automatic-token-authentication#permissions-for-the-github_token

Finally, if the workflow was triggered by a pull request from a forked repository, 
and the Send write tokens to workflows from pull requests setting is not selected, 
the permissions are adjusted to change any write permissions to read only.

이전에 저도 fork하고 PR을 올렸을 때는 문제 없었던 것 같은데 왜 이번에는 이런 문제가 발생하는지는 잘 모르겠습니다.
혹시나 문제해결하시는데 도움이 될까 댓글 남깁니다.

관련 링크:
jwgmeligmeyling/spotbugs-github-action#30
actions/first-interaction#10

@benelog
Copy link
Contributor

benelog commented Oct 3, 2022

이 저장소에 write 권한이 없는 사람이 올리면 그렇게 되지 않나 추정이 됩니다.

image

일단 conflict부터 해결해야겠습니다.

@mhyeon-lee mhyeon-lee merged commit 665fc01 into naver:main Oct 12, 2022
@mhyeon-lee
Copy link
Collaborator

@ByungjunYou merge 되었습니다. 감사합니다.

Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment
Labels
None yet
Projects
None yet
Development

Successfully merging this pull request may close these issues.

7 participants