apolloconfig/apollo

apollo-common和apollo-biz有一些安全漏洞

Open

#5 386 ouverte le 14 mai 2025

Voir sur GitHub
 (3 commentaires) (0 réactions) (0 assignés)Java (10 177 forks)batch import
help wanted

Métriques du dépôt

Stars
 (29 769 stars)
Métriques de merge PR
 (Merge moyen 4j 13h) (6 PRs mergées en 30 j)

Description

你好，我引入apollo-common和apollo-biz2.4.0版本，发现有一些安全漏洞，请问有计划进行升级吗？ apollo-common H2 Database Engine:2.1.214 (CVE-2022-45868 (BDSA-2022-3649)) Nimbus-JOSE-JWT:9.22(CVE-2023-52428 (BDSA-2023-3666)) PostgreSQL JDBC Driver (pgjdbc):42.3.8(CVE-2024-1597 (BDSA-2024-0368)) SnakeYAML:1.33(CVE-2022-1471 (BDSA-2022-3447)) Spring Boot:2.7.18(BDSA-2024-5686 (CVE-2024-38807)) Spring Framework:5.3.39(CVE-2016-1000027) Spring Security:5.7.11(BDSA-2024-0647 (CVE-2024-22257)、BDSA-2024-7762)

apollo-biz Apache Commons JXPath:1.3(CVE-2022-40159 (BDSA-2022-3402)) Apache ZooKeeper:3.9.2(BDSA-2024-8266) Jettison - Json Stax implementation:1.4.0(CVE-2022-40149 (BDSA-2022-3277)、CVE-2022-40150 (BDSA-2022-3278)、CVE-2022-45685 (BDSA-2022-3714)、CVE-2022-45693 (BDSA-2022-3715)、CVE-2023-1436 (BDSA-2023-0994)) Woodstox：6.2.1（CVE-2022-40152 (BDSA-2022-2582)）

Guide contributeur

Direction de recherche
Vérifiez les dernières versions des dépendances listées dans les fichiers de construction du projet Apollo (pom.xml ou gradle). Recherchez les pull requests ou issues existantes traitant de ces CVE. Si aucune mise à niveau n'est en cours, proposez de mettre à jour les dépendances concernées vers des versions corrigées et assurez la compatibilité avec le codebase d'Apollo.
Stack technique
java
Domaine
backend
Type d'issue
Sécurité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-3 heures
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
Java
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
70