RUSTSEC-2026-0178: Panic on a `DataRow` with fewer fields than columns allows denial of service
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 3/5
- Temps estimé
- 1-2 jours
- Accessibilité débutants
- 48/100
Piste de recherche
Commencez par la dépendance tokio-postgres 0.7.15 de graph-node, puis lisez le commit upstream lié et l’avis RUSTSEC-2026-0178. Confirmez comment la dépendance est résolue et mettez-la à jour vers une version corrigée au moins égale à 0.7.18 ; le travail est terminé lorsque la dépendance affectée n’est plus sélectionnée et que les vérifications pertinentes réussissent.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Panic on a
DataRowwith fewer fields than columns allows denial of service
| Details | |
|---|---|
| Package | tokio-postgres |
| Version | 0.7.15 |
| URL | https://github.com/rust-postgres/rust-postgres/commit/7a00ffa9ad4d951ec0a4564b52f1780fa9d353c1 |
| Date | 2026-06-12 |
| Patched versions | >=0.7.18 |
| Unaffected versions | <0.4.0 |
A malicious or compromised server can send a row containing fewer fields than
its row description declares columns. Reading one of the missing columns then
panics with an out-of-bounds index, aborting the calling task. This affects even
the otherwise non-panicking try_get, and both Row and SimpleQueryRow.
Applications that connect only to a trusted database are not exposed; the risk
applies to clients that may connect to untrusted or user-supplied servers, or
whose connection can be intercepted by a man-in-the-middle.
See advisory page for additional details.
- Langage dominant
- Rust
- Étoiles
- 3.2k
- Forks
- 1.1k
- Merge moyen
- 4 j 1 h
- PR mergées (30 j)
- 1
Guide de contribution
Ouvrir le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de graphprotocol/graph-node
-
current: include emits an all-null bucket for dimensionless aggregations, nulling the whole response Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
graphprotocol/graph-node#6719 ·
-
RUSTSEC-2026-0194: Quadratic run time when checking a start tag for duplicate attribute names Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
graphprotocol/graph-node#6673 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 70/100
graphprotocol/graph-node#6650 · 1 commentaire ·
-
Difficulté 4/5 3-5 jours Accessibilité débutants 48/100
graphprotocol/graph-node#6722 ·
-
Difficulté 3/5 1-2 jours Accessibilité débutants 68/100
graphprotocol/graph-node#6721 ·
Toutes les issues de graphprotocol/graph-node
Issues similaires
-
Difficulté 2/5 1-3 heures Accessibilité débutants 88/100
-
bug core
Difficulté 2/5 1-3 heures Accessibilité débutants 86/100
-
JIT-compiled number -> Decimal conversion silently overflows instead of raising DECIMAL_OVERFLOW Ouvertefuzz
Difficulté 2/5 1-3 heures Accessibilité débutants 82/100
ClickHouse/ClickHouse#122114 ·
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 92/100
linebender/vello_svg#90 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 74/100