bytedeco/javacv

Dependencies check

Open

#2 051 ouverte le 29 juin 2023

Voir sur GitHub
 (1 commentaire) (0 réactions) (0 assignés)Java (1 583 forks)batch import
enhancementhelp wanted

Métriques du dépôt

Stars
 (6 985 stars)
Métriques de merge PR
 (Aucune PR mergée en 30 j)

Description

avaCPP Presets is a project providing Java distributions of native C++ libraries. All the actions in the bytedeco/javacpp-presets use the github.event.head_commit.message? parameter in an insecure way. For example, the commit message is used in a run statement - resulting in a command injection vulnerability due to string interpolation. No exploitation has been reported. This issue has been addressed in version 1.5.9. Users of JavaCPP Presets are advised to upgrade as a precaution.

Upgrading to 1.5.9 still has dependency security issues

https://nvd.nist.gov/vuln/detail/CVE-2023-34112

Guide contributeur

Direction de recherche
Mettez à jour la dépendance affectée (javacpp presets) vers la version 1.5.9 ou ultérieure, puis vérifiez que le correctif CVE 2023-34112 est appliqué et qu'aucun nouveau problème de dépendance n'apparaît.
Stack technique
java
Domaine
securitydevops
Type d'issue
Sécurité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-3 heures
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Plutôt claire
Prérequis
JavaGitSecurity basics
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
40