අද කාලේ ගොඩක් developersලා CI/CD pipelines use කරනවා automation වැඩට. ඇත්තටම GitHub Actions workflows ඇතුළේ hidden vulnerabilities තියෙනවා. ඒ වගේ risky misconfigurations detect කරන්න තමයි Octoscan කියන static vulnerability scanner එක build කරලා තියෙන්නේ. මේ tool එක expression injection, repo jacking, insecure commands, credential exposure වගේ serious security issues හොයාගන්න පුළුවන්. එතනින් පස්සේ dangerous checkout patterns, untrusted artifacts use කරනවාද, self-hosted runners misuse වෙනවාද කියලාත් identify කරනවා. මේවා ignore කළොත් attackersලාට CI/CD pipeline එක hack කරලා remote code execution වගේ level එකකට යන්න chance තියෙනවා.
ඒක නිසා අද CI/CD කියන්නේ automation tool එකක් විතරක් නෙවෙයි — ඒකත් attack surface එකක්. ඔබගේ workflows secure නැත්නම්, project එකේ full system එකම risk එකට යනවා. Octoscan වගේ tools use කරලා early stage එකේම issues detect කරගන්න එක තමයි best practice එක 
-/github.com/synacktiv/octoscan
Buwa Thoughts
