denisidoro/navi

Some concerns about security with variables

Open

#533 aperta il 21 apr 2021

Vedi su GitHub
 (7 commenti) (1 reazione) (0 assegnatari)Rust (530 fork)batch import
help wantednew feature

Metriche repository

Star
 (15.874 star)
Metriche merge PR
 (Nessuna PR mergiata in 30 g)

Descrizione

Navi is really nice and the ability to use cheatsheet from other people is very nice and allows to learn new tricks. The use of variable with fzf is a real usability gain.

But those two features together raises some security concerns, as it may leads a navi user to run malicious or erroneous shell commands with unwanted side effects.

I'm afraid I've no solution apart disabling variables or setting up a mechanism which would allows only accepted and reviewed code to be executed.

Guida contributor

Direzione di ricerca
Indaga l'implementazione corrente delle variabili in navi, in particolare come vengono eseguiti i cheat sheet forniti dagli utenti. Rivedi la discussione nei commenti per le soluzioni proposte. Considera l'implementazione di un meccanismo di sandboxing o di una allowlist per i cheat sheet revisionati.
Tech stack
rustshell
Dominio
cli
Tipo issue
Sicurezza
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
3-5 giorni
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Abbastanza chiara
Prerequisiti
RustShell scripting
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
40