API Security Analyzer for OpenAPI/Swagger Specs
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 30/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Da chiarire
- Stato di attività
- Ferma
- Stack tecnologico
- openapi, typescript
Direzione di ricerca
The issue names no repository files, tests, or entry points. Start by reviewing the OpenAPI/Swagger examples and defining the analyzer scope, supported specification versions, vulnerability taxonomy changes, and how each listed security violation will be reported; done means those decisions and acceptance checks are documented.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
This feature would introduce a specialized vulnerability type in our security taxonomy to analyze API definition files like openapi.yaml or swagger.json for security best-practice violations.
The scanner would check for common issues such as:
- Endpoints missing security scheme definitions (e.g., no authentication).
- Use of insecure protocols (http instead of https).
- Lack of defined rate-limiting properties.
- Sensitive data being passed in query parameters instead of the request body.
- Vague or overly permissive data type definitions (e.g., type: object without defined properties).
Open question: is there an open source tool we could use to help Gemini on the analysis?
Example 1:
{
"swagger": "2.0",
"info": {
"title": "Bad Swagger API",
"version": "1.0.0"
},
"paths": {
"/reports/confidential": {
"get": {
"summary": "Get confidential report",
"parameters": [
{
"name": "apiKey",
"in": "query",
"description": "API Key passed in URL (insecure!)",
"required": true,
"type": "string"
}
],
"responses": {
"200": {
"description": "Report data"
}
}
}
}
}
}
Example 2:
openapi: 3.0.0
info:
title: Insecure Transport API
version: 1.0.0
servers:
- url: http://api.example.com/v1 # <-- Insecure HTTP
paths:
/data:
get:
summary: Get some data
responses:
'200':
description: OK
- Lingua principale
- TypeScript
- Stelle
- 794
- Fork
- 58
- Metriche di merge delle PR
- Nessuna PR unita negli ultimi 30g
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di gemini-cli-extensions/security
-
HelpAperta
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 10/100
-
[Feature Request - Codemaps] Deduplicate Structural Graph Edges and Augment with Metadata (Call Sites)Forse di nuovo libera @satvikkk l’ha presa 243 giorni fa e non c’è nessuna pull request aperta. Apertaenhancement
gemini-cli-extensions/security#141 · 1 assegnatario ·
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 45/100
gemini-cli-extensions/security#133 · 3 commenti ·
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 20/100
Tutte le issue di gemini-cli-extensions/security
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
polarsource/polar#15580 ·
I maintainer di solito rispondono entro 1 giorno
-
accepted bug via-triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 69/100
pingdotgg/t3code#20931 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
bug/1-unconfirmed kind/bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 83/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
ranxianglei/billion-context#3583 ·
I maintainer di solito rispondono entro 1 giorno