pySCG investigate on creating CWE-91 Prevent XML injection
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 48/100
- Tipo di issue
- Documentazione
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- python, xml
- Ambito
- documentation, security
Direzione di ricerca
Read the CWE-472 HTML rule and the linked CVE descriptions for examples that could fit a CWE-91 rule. The issue highlights example length and dependencies outside Python’s standard library as constraints. Done means providing a suitable XML injection example and guidance for the rule; the issue does not name a file or test to start from.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Missing code examples that are suitable in terms of length and need to install additional modules.
XML as such is similar to html not python but we do have rule's on html such as CWE-472.
Challenging to avoid using a module from outside of the standard lib in the code examples.
CVEs that could lead to an alternative code example (CWE-91):
CVE-2021-36359 (nist.gov)
CVE-2018-1000632 (nist.gov)
CVE-2022-46751 (nist.gov)
Its mostly an issue due to disabling of a DTD or lack of using one and lack of input sanitation. Subsequently an attacker has a greater choice in how the xml is arranged. Input sanitation can furthermore limit the attack vector.
- Lingua principale
- Python
- Stelle
- 2
- Fork
- 2
- Merge medio
- 11m
- PR unite (30g)
- 2
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di ossf/python-secure-coding-guide
-
pyscg-0051 should use a context managerForse già presa @s19110 l’ha presa 8 giorni fa. Apertabug
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
ossf/python-secure-coding-guide#1 · 4 commenti · 1 assegnatario ·
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 65/100
ossf/python-secure-coding-guide#29 · 1 commento ·
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 25/100
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 25/100
Tutte le issue di ossf/python-secure-coding-guide
Issue simili
-
documentation type/bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
I maintainer di solito rispondono entro 1 giorno
-
add entry to blockAperta
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 65/100
StevenBlack/hosts#3299 ·
-
`garak --report` overwrites the input report when its name has no ".report"Forse già presa @0z5a l’ha presa oggi. Apertaneeds-triage
Difficoltà 2/5 Mezza giornata Idoneità per principianti 72/100
I maintainer di solito rispondono entro 2 giorni
-
trace: Pi's 1-hour cache writes are priced at 1.25x, but billed at 2xForse già presa @Shizoqua l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
microsoft/TokenEconomizer#221 ·
I maintainer di solito rispondono entro 1 giorno
-
plot_graph crashes when a mesh node has no m2m edgeForse già presa @tygvi l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
mllam/neural-lam#883 · 1 commento ·
I maintainer di solito rispondono entro 2 giorni