eslint-community/eslint-plugin-security

A more relevant "detect-object-injection"

Open

#21 ouverte le 30 août 2017

Voir sur GitHub
 (20 commentaires) (12 réactions) (0 assignés)JavaScript (131 forks)batch import
help wanted

Métriques du dépôt

Stars
 (2 074 stars)
Métriques de merge PR
 (Merge moyen 2j 18h) (4 PRs mergées en 30 j)

Description

Is there any way that we can work towards a more helpful/relevant report of Object injection sinks?

I can't think of a relevant security use case where Object injection would be relevant outside of the scope of a function directly linked to a web service.

I can understand based on tree traversal that determining the difference in between functions that are used in response to direct network calls would be [near] impossible to determine, but if I use bracket notation at the top level of my module, likely this rule should not notify.

Guide contributeur

Direction de recherche
Étudiez comment limiter la détection d'object injection aux fonctions directement liées aux services web en analysant le contexte d'appel et l'utilisation de niveau supérieur.
Stack technique
javascript
Domaine
securitytooling
Type d'issue
Recherche
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Plutôt claire
Prérequis
JavaScriptESLint
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
60