Защитная проверка Gitea pre-receive по GHSA-vhq7-fwwh-7hjf: runtime inventory, обратимый fixture, матрица PASS/FAIL/Unknown, stop-rule и минимальный пакет доказательств без production-данных.
Короткий ответ и граница решения — Gitea pre-receive: scanner errors должны fail closed (GHSA-vhq7-fwwh-7hjf)
Короткий ответ: разделяют version inventory и reachability. Для темы «Gitea pre-receive: scanner errors должны fail closed» отдельная боль сформулирована так: ошибка scanner может быть принята как разрешение push. Проверяемый инвариант: для границы «Gitea pre-receive: scanner errors должны fail closed» решение принимается до побочного эффекта и только по явно проверенным данным. Запись GHSA-vhq7-fwwh-7hjf задаёт инвентарную границу «code.gitea.io/gitea: < 1.26.0; исправлено в 1.26.0», но совпадение версии означает только candidate, а не подтверждённый инцидент. Практический ответ должен содержать scanner outcome matrix, disposable refs и stop-rule. Эта страница не расширяет вывод на весь Gitea pre-receive: Не повторяет права update/rebase PR. Stop-rule: наблюдается состояние «ошибка scanner может быть принята как разрешение push», fixture покидает временный контур или появляется реальный секрет/внешний вызов.
Почему это отдельный поисковый intent — Gitea pre-receive: scanner errors должны fail closed (GHSA-vhq7-fwwh-7hjf)
Паспорт самостоятельности GHSA-vhq7-fwwh-7hjf. Объект — Gitea pre-receive: scanner errors должны fail closed. Пользовательский вопрос — ошибка scanner может быть принята как разрешение push. Ожидаемый результат — scanner outcome matrix, disposable refs и stop-rule. Практическая ценность — Отдельная fail-open/fail-closed граница branch protection. Причина отдельного URL — Не повторяет права update/rebase PR. Эти поля сравниваются с существующим каталогом вместе, поэтому механическая замена продукта или ОС не создаёт новую тему. Если старая статья уже отвечает на этот вопрос, корректный исход — merge/update-кандидат, а не новый адрес.
Runtime inventory и применимость — Gitea pre-receive: scanner errors должны fail closed (GHSA-vhq7-fwwh-7hjf)
Inventory до теста. Найдите фактически загруженный Gitea pre-receive в lockfile, SBOM, binary metadata или runtime module list и свяжите его с digest/revision. Сопоставьте только с «code.gitea.io/gitea: < 1.26.0; исправлено в 1.26.0». Возможны absent, out_of_range, candidate и unknown. Candidate требует доказать доступность функции «Gitea pre-receive: scanner errors должны fail closed»; unknown нельзя повышать до PASS по health endpoint, дате image или отсутствию жалоб. Backport принимается только с commit и regression test.
Обратимый fixture без production-данных — Gitea pre-receive: scanner errors должны fail closed (GHSA-vhq7-fwwh-7hjf)
Безопасный fixture строится вокруг результата «scanner outcome matrix, disposable refs и stop-rule». Используйте временный каталог, in-memory store, mock transport либо disposable objects; отключите production credentials и реальные внешние назначения. Контрольный вход обязан пройти, граничный — завершиться предсказуемым отказом до side effect. Для кейса GHSA-vhq7-fwwh-7hjf сохраняйте raw input class, normalized decision, side-effect counter, elapsed budget и verdict. Остановка обязательна, если наблюдается состояние «ошибка scanner может быть принята как разрешение push», fixture покидает временный контур или появляется реальный секрет/внешний вызов.
Матрица PASS, FAIL, Unknown и N/A — Gitea pre-receive: scanner errors должны fail closed (GHSA-vhq7-fwwh-7hjf)
Матрица симптомов не смешивает уровни. PASS: исправленная граница или измеренный control отклоняет опасный класс до эффекта. FAIL: версия попадает в advisory, функция достижима и воспроизводится ровно состояние «ошибка scanner может быть принята как разрешение push». UNKNOWN: отсутствует provenance, configuration snapshot или точка наблюдения. NOT_APPLICABLE: компонент доказанно отсутствует. Для «Gitea pre-receive: scanner errors должны fail closed» отдельной колонкой хранится scanner outcome matrix, disposable refs и stop-rule; средний статус по нескольким колонкам запрещён.
Ожидаемый before/after — Gitea pre-receive: scanner errors должны fail closed (GHSA-vhq7-fwwh-7hjf)
Before/after должен повторять один и тот же inert marker. До обновления фиксируется только decision path для «ошибка scanner может быть принята как разрешение push», без вредного payload. После официального обновления тот же marker проверяет, что для границы «Gitea pre-receive: scanner errors должны fail closed» решение принимается до побочного эффекта и только по явно проверенным данным. Начальный и конечный hash fixture должны совпадать, кроме ожидаемой тестовой записи. Если результат меняется вместе с unrelated configuration, тест не изолирован и остаётся Unknown. Так regression case остаётся пригодным для следующего обновления Gitea pre-receive.
Красные флаги и stop-rule — Gitea pre-receive: scanner errors должны fail closed (GHSA-vhq7-fwwh-7hjf)
Красные флаги для этой темы предметны: наблюдается состояние «ошибка scanner может быть принята как разрешение push», fixture покидает временный контур или появляется реальный секрет/внешний вызов. Нельзя заменять их общим сообщением «сервис активен». Нельзя использовать реальные аккаунты, репозитории, токены, IP, model artifacts или журналы пользователей. Нельзя публиковать эксплуатационную последовательность. При срабатывании stop-rule сохраните только digest версии, обезличенную строку решения и счётчики. Владелец компонента решает вопрос об изоляции, обновлении и повторе fixture.
Минимальный пакет для поддержки — Gitea pre-receive: scanner errors должны fail closed (GHSA-vhq7-fwwh-7hjf)
Пакет поддержки минимален: Gitea pre-receive version/digest, название входной точки «Gitea pre-receive: scanner errors должны fail closed», sanitized configuration fragment, таблица «scanner outcome matrix, disposable refs и stop-rule», monotonic timestamps и PASS/FAIL/Unknown. Источник GHSA-vhq7-fwwh-7hjf опубликован 2026-07-03, обновлён 2026-09-01; это не доказывает применимость к конкретной установке. Не прикладывайте environment dump, credentials или пользовательские данные. После remediation повторите fixture, а не ограничивайтесь номером версии.
Материал подготовлен редакцией VOne с помощью автоматизированного черновика; версии, даты, границы и ссылки вручную сверены по указанным advisory и upstream-страницам. Текст не воспроизводит чужую публикацию и не содержит эксплуатационных шагов.
Источники и проверка
- GitHub Advisory Database — GHSA-vhq7-fwwh-7hjf проверено 2026-09-02
- Первичный источник проекта — Gitea pre-receive проверено 2026-09-02
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.