ci(security): pin third-party GitHub Actions

[pierrick-fonquerne]

Pins every third-party GitHub Action to its full commit SHA while retaining the human-readable version comment. Reusable organization workflows remain intentionally referenced from the central main branch. Local validation confirms no third-party workflow action is left unpinned.

[github-actions]

Team Review

Verdict: SHIP ✅ · 0 confirmed · 1 contested

🇬🇧 English

Overview
This pull request introduces a new GitHub Action workflow to verify pinned actions and updates existing workflows to use pinned versions of actions with commit SHAs. The changes enhance security and reproducibility by ensuring consistent action versions. The implementation is well-structured and aligns with Nubster's conventions. Overall, the quality is good with only minor concerns identified.

Strengths

• The PR consistently pins GitHub Actions to specific commit SHAs, improving security and reproducibility.
• The new workflow for verifying action pins adds an additional layer of security validation.
• Changes are well-scoped and follow Nubster's established conventions for GitHub Actions.

⚠️ Contested (adversarial verification)

• 🟡 security .github/workflows/release.yml:179: The actions/checkout action at line 179 uses fetch-depth: 0, which may introduce a path traversal vulnerability if not properly handled. (via security)
  • deterministic check: line 179 of .github/workflows/release.yml is not part of this pull request's changes

🇫🇷 Français

Vue d'ensemble
Cette demande de tirage introduit un nouveau workflow GitHub Action pour vérifier les actions épinglées et met à jour les workflows existants pour utiliser des versions épinglées des actions avec des SHA de commit. Les modifications améliorent la sécurité et la reproductibilité en garantissant des versions d'actions cohérentes. L'implémentation est bien structurée et conforme aux conventions de Nubster. Globalement, la qualité est bonne avec seulement des préoccupations mineures identifiées.

Points forts

• La demande de tirage épingle systématiquement les GitHub Actions à des SHA de commit spécifiques, améliorant la sécurité et la reproductibilité.
• Le nouveau workflow pour vérifier les épingles d'actions ajoute une couche supplémentaire de validation de sécurité.
• Les modifications sont bien délimitées et suivent les conventions établies de Nubster pour les GitHub Actions.

⚠️ Contestés (vérification adversariale)

• 🟡 security .github/workflows/release.yml:179: L'action actions/checkout à la ligne 179 utilise fetch-depth: 0, ce qui pourrait introduire une vulnérabilité de traversée de chemin si elle n'est pas correctement gérée. (via security)
  • controle deterministe : la ligne 179 de .github/workflows/release.yml ne fait pas partie des changements de cette pull request

---

Agents: Correctness, Security, Architecture, Performance
Findings: 1 raw -> 1 merged
Model: codestral-latest + mistral-large-latest · Diff: 6 file(s)