Sécurité (basse) : la lane triage peut poser toute étiquette autre que les déclencheurs #17

New issue

Closed

opened 2026-10-13 23:46:46 +02:00 by mathieu · 1 comment

mathieu commented

2026-10-13 23:46:46 +02:00

Owner

Constat (revue de sécurité du 2026-10-13)

lane-triage.yml envoie à la persona toutes les étiquettes du dépôt sauf DECLENCHEURS. Un ticket piégé peut obtenir une étiquette lue par une automatisation hors Actions (fusion automatique, webhook n8n…). Une étiquette posée par le jeton automatique ne relance aucun workflow, d'où la gravité basse.

Correctif attendu

Une liste blanche explicite des étiquettes proposables (statuts et catégories), réglable par dépôt — par défaut celles de la table docs/agents/triage-labels.md quand elle existe, sinon Kind/*, Status/*, Reviewed/Confirmed, ready-for-*.

Critères d'acceptation

Une étiquette hors liste blanche n'est jamais envoyée ni posée, test à l'appui.
CONTRAT.md décrit la liste.

## Constat (revue de sécurité du 2026-10-13) `lane-triage.yml` envoie à la persona toutes les étiquettes du dépôt sauf `DECLENCHEURS`. Un ticket piégé peut obtenir une étiquette lue par une automatisation hors Actions (fusion automatique, webhook n8n…). Une étiquette posée par le jeton automatique ne relance aucun workflow, d'où la gravité basse. ## Correctif attendu Une liste blanche explicite des étiquettes proposables (statuts et catégories), réglable par dépôt — par défaut celles de la table `docs/agents/triage-labels.md` quand elle existe, sinon `Kind/*`, `Status/*`, `Reviewed/Confirmed`, `ready-for-*`. ## Critères d'acceptation - [ ] Une étiquette hors liste blanche n'est jamais envoyée ni posée, test à l'appui. - [ ] CONTRAT.md décrit la liste.

mathieu referenced this issue from a commit

2026-10-14 00:52:55 +02:00

fix(triage): liste blanche des étiquettes, tirée de la table du dépôt (#17)

mathieu referenced this issue

2026-10-14 00:53:03 +02:00

Revue qui voit la CI, liste blanche du triage, fuite encodée, CI aval (#12, #13, #16, #17) #18

mathieu referenced this issue from a commit

2026-10-14 01:31:56 +02:00

Merge pull request 'Revue qui voit la CI, liste blanche du triage, fuite encodée, CI aval (#12, #13, #16, #17)' (#18) from integration-12-13-16-17 into main

mathieu commented

2026-10-14 01:34:06 +02:00

Author

Owner

Fait par #18 (fusionnée, 606be5c) : liste blanche tirée de docs/agents/triage-labels.md, motifs par défaut sans table, déclencheurs et Reviewed/Won't Fix exclus. Éprouvé sur essai-actions ticket 58 : Kind/Bug, ready-for-agent posés, Priority/High jamais envoyée à la persona. Un premier passage a échoué (persona qui répond en texte sans écrire triage.md, refus correct de publier) : aléa du modèle, à suivre s'il revient.

Fait par #18 (fusionnée, `606be5c`) : liste blanche tirée de `docs/agents/triage-labels.md`, motifs par défaut sans table, déclencheurs et `Reviewed/Won't Fix` exclus. Éprouvé sur essai-actions ticket 58 : `Kind/Bug`, `ready-for-agent` posés, `Priority/High` jamais envoyée à la persona. Un premier passage a échoué (persona qui répond en texte sans écrire `triage.md`, refus correct de `publier`) : aléa du modèle, à suivre s'il revient.

mathieu closed this issue

2026-10-14 01:34:08 +02:00