SnakeYAML 1.27 vulnerability in Jinjava 2.7.1
まだ誰も着手していません。
評価
調査の方向性
まず、SnakeYAMLをJinjavaに取り込んでいるMaven依存関係の宣言を見つけ、参照されているJinjavaとJackson YAMLのバージョンを確認します。脆弱性のない互換バージョンを選択した後、既存のテストスイートを実行します。依存関係がリグレッションなしにアップグレードされ、報告されたSnakeYAMLの脆弱性が解消されれば完了です。
索引モデルが issue の本文から書いたものです。
説明
Hi Team,
We recently found out that SnakeYAML library 1.27 has some vulnerabilities which are fixed in later versions-
snakeyaml 1.27 1.31 java-archive GHSA-3mc7-4q67-w48m High
snakeyaml 1.27 1.31 java-archive GHSA-98wm-3w3q-mw94 Medium
snakeyaml 1.27 1.31 java-archive GHSA-c4r9-r8fh-9vj2 Medium
snakeyaml 1.27 1.31 java-archive GHSA-hhhw-99gj-p3c3 Medium
snakeyaml 1.27 1.32 java-archive GHSA-9w3m-gqgf-c4p9 Medium
snakeyaml 1.27 1.32 java-archive GHSA-w37g-rhq8-7m4j Medium
snakeyaml 1.27 2.0 java-archive GHSA-mjmj-j48q-9wg2 High
I traced down the version of Snakeyaml for the 2.7.1 Jinjava -
Maven Repository: com.hubspot.jinjava » jinjava » 2.7.1
As per their POM https://repo1.maven.org/maven2/com/hubspot/jinjava/jinjava/2.7.0/jinjava-2.7.0.pom
Maven Repository: com.fasterxml.jackson.dataformat » jackson-dataformat-yaml » 2.12.6
-->
https://repo1.maven.org/maven2/com/fasterxml/jackson/dataformat/jackson-dataformat-yaml/2.12.6/jackson-dataformat-yaml-2.12.6.pom
--> SnakeYAML 1.27
Could we please prioritize this for the next release ? This will be a great relief for all the users.
Regards,
Souptik
- 主要言語
- Java
- スター
- 787
- フォーク
- 184
- 平均マージ
- 6日 22時間
- マージ済み PR（30日）
- 1
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
HubSpot/jinjava のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 64/100
-
Upgrade jsoupオープン
難易度 3/5 1〜2日 初心者へのやさしさ 45/100
-
難易度 3/5 1〜2日 初心者へのやさしさ 82/100
-
難易度 3/5 1〜2日 初心者へのやさしさ 76/100
HubSpot/jinjava の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
apache/rocketmq-dashboard#5358 ·
メンテナーはふだん 3 日以内に返信
-
area:cpan-port area:database bug
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
fglock/PerlOnJava#1605 ·
メンテナーはふだん 1 日以内に返信
-
1.0.0-rc2
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
wso2/dpdp-accelerator#377 ·
メンテナーはふだん 1 日以内に返信
-
area/dependencies backport/26.4 kind/cve severity/high source/scan-dependencies status/triage
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信