Jinja <3.1.5 security vulnerability
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 3/5
- Temps estimé
- 3-5 jours
- Accessibilité débutants
- 35/100
Piste de recherche
Commencez par la configuration des dépendances et la configuration de CI du dépôt ; l’issue renvoie vers Dependabot alert 12 et demande une mise à jour de Jinja ainsi que l’analyse de sécurité des dépendances. Confirmez que la vulnérabilité est corrigée et que l’analyse est activée et détecte les futurs problèmes de dépendances.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
https://github.com/DiamondLightSource/blueapi/security/dependabot/12
To exploit the vulnerability, an attacker needs to control the content of a template. Whether that is the case depends on the type of application using Jinja. This vulnerability impacts users of applications which execute untrusted templates.
Jinja's sandbox does catch calls to str.format and ensures they don't escape the sandbox. However, it's possible to store a reference to a malicious string's format method, then pass that to a filter that calls it. No such filters are built-in to Jinja, but could be present through custom filters in an application. After the fix, such indirect calls are also handled by the sandbox.```
Python-copier-template should update the version of Jinja, even if it appears to not be directly relevant.
Python-copier-template should also enable security scanning of dependencies, so that issues are caught ASAP and handled in the appropriate place- Langage dominant
- Jinja
- Étoiles
- 25
- Forks
- 9
- Merge moyen
- 4 h 13 min
- PR mergées (30 j)
- 3
Préparer son environnement
Lance le conteneur de développement du projet dans votre navigateur, avec votre propre compte GitHub.
- Fournit un Dockerfile ou un fichier Docker Compose
- Aucun modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de DiamondLightSource/python-copier-template
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
-
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 68/100
-
documentation good first issue
Difficulté 1/5 Moins d'une heure Accessibilité débutants 70/100
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
Toutes les issues de DiamondLightSource/python-copier-template
Issues similaires
-
bug
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
Les mainteneurs répondent en général sous 1 jour
-
Webhook subscription ping disables TLS certificate verification and leaks a debug console.logOuvertebackend bug difficulty: medium priority: high security
Difficulté 2/5 1-3 heures Accessibilité débutants 85/100
trustflow-protocol/trustflow-backend#728 ·
Les mainteneurs répondent en général sous 1 jour
-
🐛 Bug Report: Console `/join` shows an endless spinner for invited users who are not signed inOuverteproduct / auth product / console product / databases product / messaging product / self-hosted product / sites product / storage
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
Les mainteneurs répondent en général sous 1 jour
-
good first issue Hacktoberfest
Difficulté 1/5 Moins d'une heure Accessibilité débutants 90/100
Adnan9-63/life-tracker#41 ·
Les mainteneurs répondent en général sous 2 jours
-
area:providers needs-repro P3
Difficulté 2/5 1-3 heures Accessibilité débutants 62/100
Raaif-Yousuf/Wingman#799 ·
Les mainteneurs répondent en général sous 1 jour