Bump minimum aws-lc-rs dependency to address CVE-2026-3336 and CVE-2026-3338
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 1/5
- Tiempo estimado
- Menos de una hora
- Aptitud para principiantes
- 55/100
- Tipo de issue
- Error
- Claridad
- Bien especificado
- Estado de actividad
- Estancado
- Stack tecnológico
- rust
- Área
- cryptography, security
Línea de trabajo
Comienza por la declaración de dependencia opcional de aws-lc-rs para la funcionalidad aws_lc_rs e inspecciona el árbol de dependencias resuelto. Confirma que la versión mínima selecciona aws-lc-sys >= 0.38.0 y verifica que una resolución nueva de Cargo ya no permita las versiones afectadas.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
jsonwebtoken currently specifies aws-lc-rs ^1.15.0 as an optional dependency for the aws_lc_rs feature. This allows Cargo to resolve versions of aws-lc-rs that depend on aws-lc-sys < 0.38.0, which is affected by CVEs disclosed on 2026-03-02:
- CVE-2026-3336 —
PKCS7_verifycertificate chain validation bypass - CVE-2026-3338 —
PKCS7_verifysignature validation bypass
Bumping the minimum version of aws_lc_rs ensures that fresh resolves will pick up the patched aws-lc-sys >= 0.38.0
- Lenguaje dominante
- Rust
- Estrellas
- 2.1k
- Forks
- 367
- Merge medio
- 5 d 12 h
- PR fusionados (30 d)
- 2
Preparar el entorno
Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de Keats/jsonwebtoken
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Keats/jsonwebtoken#544 · 1 comentario ·
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 85/100
Keats/jsonwebtoken#542 · 1 comentario ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
Keats/jsonwebtoken#519 · 2 comentarios ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Keats/jsonwebtoken#497 ·
-
Invalid multiple algorithm logicAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
Keats/jsonwebtoken#297 · 19 comentarios · 2 reacciones ·
Todos los issues de Keats/jsonwebtoken
Issues similares
-
agent:triaged bug bughunt pm:npm priority:p1
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
SocketDev/socket-patch#464 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
Los mantenedores suelen responder en 1 día
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 90/100
Los mantenedores suelen responder en 3 días
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
stellar/stellar-cli#2773 ·
Los mantenedores suelen responder en 2 días
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día