apache/dubbo

Test YamlCodec to ensure no CVE issue

Fermée

#13 799 ouverte le 26 févr. 2024

Voir sur GitHubGuide contributeur
 (4 commentaires) (0 réaction) (1 personne assignée)Java (26 453 forks)batch import
component/sdkgood first issuehelp wantedtype/discussion

Métriques du dépôt

Stars
 (41 524 étoiles)
Métriques de merge PR
 (Merge moyen 7j 14h) (20 PRs mergées en 30 j)

Description

Currently using loadAs to parse http message, need to add unit test ensure no CVE issue. as with JSON, not to enable any object deserialization.

Guide contributeur

Direction de recherche
The issue requests adding unit tests for YamlCodec to ensure no unsafe deserialization vulnerabilities. Look at the existing JSON codec tests for patterns (e.g., avoid enabling object deserialization). The main class to test is likely YamlCodec, located in the dubbo common module. The test should verify that loadAs does not allow arbitrary object deserialization, similar to JSON tests. Check the test directory for similar test cases and follow the same structure.
Stack technique
java
Domaine
testingsecurity
Type d'issue
Test
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Moins d'une heure
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
JavaJUnitYAML parsingApache Dubbo basics
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
40