boostsecurityio/lotp

[LOTP] Add xsltproc

Open

#36 ouverte le 6 août 2024

Voir sur GitHub
 (0 commentaires) (0 réactions) (0 assignés)HTML (14 forks)auto 404
good first issueidea

Métriques du dépôt

Stars
 (158 stars)
Métriques de merge PR
 (Métriques PR en attente)

Description

Description of the LOTP tool

xsltproc makes old-school XXE hard / if not impossible? because of URI constraints, but supported exsl:document extension (exslt.github.io/exsl/elements/document/index.html) provides an arbitrary write primitive (ex. Koha-Community/Koha@main/t/db_dependent/Koha/XSLT/Security.t#L64-L75)

Guide contributeur

Direction de recherche
Rédigez une courte entrée pour xsltproc expliquant son potentiel XXE et l'extension exsl:document pour l'écriture arbitraire.
Stack technique
Aucun
Domaine
security
Type d'issue
Fonctionnalité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
1
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Moins d'une heure
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Récente
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
None
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
90