apache/dubbo

Test YamlCodec to ensure no CVE issue

Chiusa

#13.799 aperta il 26 feb 2024

Vedi su GitHubGuida contributor
 (4 commenti) (0 reazioni) (1 assegnatario)Java (26.453 fork)batch import
component/sdkgood first issuehelp wantedtype/discussion

Metriche repository

Star
 (41.524 stelle)
Metriche merge PR
 (Merge medio 7g 14h) (20 PR mergiate in 30 g)

Descrizione

Currently using loadAs to parse http message, need to add unit test ensure no CVE issue. as with JSON, not to enable any object deserialization.

Guida contributor

Direzione di ricerca
The issue requests adding unit tests for YamlCodec to ensure no unsafe deserialization vulnerabilities. Look at the existing JSON codec tests for patterns (e.g., avoid enabling object deserialization). The main class to test is likely YamlCodec, located in the dubbo common module. The test should verify that loadAs does not allow arbitrary object deserialization, similar to JSON tests. Check the test directory for similar test cases and follow the same structure.
Tech stack
java
Dominio
testingsecurity
Tipo issue
Test
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
Meno di 1 ora
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
JavaJUnitYAML parsingApache Dubbo basics
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
40