Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Invalid XML security version

Abierto
  • ¿Algo no está bien?
#624 6 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
35/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Estancado
Stack tecnológico
python
Área
security

Línea de trabajo

Revisa el tratamiento de la seguridad de #618, el contexto de release de #621 y #613, y el debate sobre el versionado de #590; después, inspecciona el aviso de PyUp enlazado en la issue. Se considera hecho cuando el aviso identifica 4.4.5 como la versión mínima segura sin requerir el release 4.5.0 no validado, y se han comprobado las advertencias de dependencias resultantes.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Description

Since the introduction of #621 and release 4.5.0 in #613, tools that track security/dependency updates like pyup are flagging the following:

An XML external entity (XXE) injection in PyWPS before 4.5.0 allows an attacker to view files on the application server filesystem by assigning a path to the entity. OWSLib 0.24.1 may also be affected. See CVE-2021-39371.

from:
https://pyup.io/repos/github/crim-ca/weaver/commits/?page=1#a586cb79de278fdc33d6eeee5feb6f6233f60a16

Because XML security specific to that issue was handled in #618, which is tagged after in 4.4.5, the requirement should be injection in PyWPS before 4.4.5, an mark the minimum requirement as 4.4.5 rather than 4.5.0.

I would like to have a revision of the security advisory for the lower version for 2 reasons:

  1. Version 4.5.0 introduces some important changes relative to ogc-api, which are not trivial to guarantee backward compatibility with existing services that did not expect them to be there.
  2. According to whichever decision taken from #590, the 4.5.x branch should be either a development branch until 4.6.x or addition of ogc-api should introduce 5.x releases. Either way, 4.5.0 is not a "ready" release (as shown by tests still failing), and suggesting users to fix the XML security should not be done at the same time as new features integration.

Currently, I am receiving a lot of warnings regarding this security issue, and I cannot directly/safely update to 4.5.0 yet until it is properly validated.

Lenguaje dominante
Python
Estrellas
186
Forks
117
Merge medio
11 d 20 h
PR fusionados (30 d)
1

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de geopython/pywps

Todos los issues de geopython/pywps

Issues similares

Más issues de Python

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.