apache/dubbo

Test YamlCodec to ensure no CVE issue

Geschlossen

#13.799 geöffnet am 26.02.2024

Auf GitHub ansehenContributor Guide
 (4 Kommentare) (0 Reaktionen) (1 zugewiesene Person)Java (26.453 Forks)batch import
component/sdkgood first issuehelp wantedtype/discussion

Repository-Metriken

Stars
 (41.524 Sterne)
PR-Merge-Metriken
 (Durchschn. Merge 7T 14h) (20 gemergte PRs in 30 T)

Beschreibung

Currently using loadAs to parse http message, need to add unit test ensure no CVE issue. as with JSON, not to enable any object deserialization.

Contributor Guide

Research-Richtung
The issue requests adding unit tests for YamlCodec to ensure no unsafe deserialization vulnerabilities. Look at the existing JSON codec tests for patterns (e.g., avoid enabling object deserialization). The main class to test is likely YamlCodec, located in the dubbo common module. The test should verify that loadAs does not allow arbitrary object deserialization, similar to JSON tests. Check the test directory for similar test cases and follow the same structure.
Tech Stack
java
Domain
testingsecurity
Issue Type
Test
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
2
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
Unter 1 Stunde
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
JavaJUnitYAML parsingApache Dubbo basics
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
40