Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Update watcher: bind an unattended update to the repository the install came from, not the package id

Chiusa
  • Qualcosa non va?
#6,526 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Una pull request collegata è già stata integrata.

  • #6541 di @rbuergi — integrata

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
25/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Ferma
Stack tecnologico
csharp
Ambito
backend, testing

Direzione di ricerca

Read PackageUpdateReconciler.cs:103-118 and trace how PluginUpdateWatcher passes repository listings to ReconcileInstalled, then find where install records are created and persisted. Add coverage for two watched repositories listing the same package id and check that an update only applies to the repository recorded at install. A linked open pull request (#6541) is already working on this issue.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

area:security bug sev:M

Follow-up from the review of #6496 (https://github.com/Systemorph/MeshWeaver/pull/6496#discussion_r4242713496).

What: PluginUpdateWatcher hands a watched repository's listing to PackageUpdateReconciler.ReconcileInstalled. The reconciler matches install records by package id alone (PackageUpdateReconciler.cs:103-118). A second watched repository listing the same id can therefore auto-update a package it never installed. This applies to:

  • a free package;
  • a commercial package whose recorded authorizer is a person who is still Global Admin.

Not introduced by #6496. That PR closes the deployment-config case only: a source-less manifest under a deployment-config: principal is refused. The id-only binding for other principals is pre-existing.

Suggested fix:

  • Bind each update to the watched repository the install record came from: record the source repository and subdirectory on install, and match on it in the reconciler.
  • Refuse or skip a candidate from another repository, by name.
  • Add a test with two watched repositories listing the same id.

🤖 Generated with Claude Code

Lingua principale
C#
Stelle
12
Fork
5
Merge medio
5h 34m
PR unite (30g)
960

Preparare l'ambiente

  • Nessun Dockerfile né file Docker Compose
  • Ha un modello di pull request
  • Nessuna guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di Systemorph/MeshWeaver

Tutte le issue di Systemorph/MeshWeaver

Issue simili

Altre issue su C#

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.