yegor256/factbase

Security concern: It's very dangerous to use `Marshal.load` with untrusted data.

Open

#106 aperta il 24 lug 2024

Vedi su GitHub
 (11 commenti) (0 reazioni) (0 assegnatari)Ruby (17 fork)github user discovery
bughelp wanted

Metriche repository

Star
 (19 star)
Metriche merge PR
 (Metriche PR in attesa)

Descrizione

See security recommendations for details.

It's used in baza. As far as I understand the code, the data was received from an HTTP request, which makes the data untrusted.

https://github.com/yegor256/factbase/blob/51d357c5d3c7411191a43c0184e0f43adba53e78/lib/factbase.rb#L218

Guida contributor

Direzione di ricerca
Esamina l'uso di Marshal.load in front push.rb e factbase.rb. Comprendi il flusso di dati dalle richieste HTTP. Ricerca alternative sicure di deserializzazione come JSON o l'uso di Marshal in sandbox.
Tech stack
ruby
Dominio
backendsecurity
Tipo issue
Sicurezza
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-3 ore
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
RubyMarshal
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
50