Clarification: 1.3.2 "Sanitized"
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 30/100
- issue の種類
- ドキュメント
- 明瞭さ
- 説明が足りない
- 活発さ
- 停滞
- 技術スタック
- java, javascript, spring
調査の方向性
派生形式ではなく、まず ASVS 5.0 ツリーにある要件 1.3.2 の生の .md ソースを読んでください。要件が JavaScript、Spring Expression Language、sanitization、allowlisting をどのように説明しているかを確認してください。実行コンテキスト、脅威モデル、意図された安全性に関するガイダンスが文言によって明確に定義されていれば完了です。
索引モデルが issue の本文から書いたものです。
説明
1.3.2 Verify that the application avoids the use of eval() or other dynamic code execution features such as Spring Expression Language (SpEL). Where there is no alternative, any user input being included must be sanitized before being executed.
- Sanitization can lower the chances of an attack succeeding, but it rarely removes the risk completely. Trying to sanitize executable logic is especially risky and often doesn’t work well. In such cases, validation and strict allowlists are the safer choice.
- The requirement mixes client-side JavaScript concerns with server-side Java expression evaluation into one vague rule, without clarifying the execution context, programming language, or threat model.
- Sanitization means removing or modifying dangerous input, but it doesn’t guarantee the input will be interpreted safely. AS the application cannot safely “sanitize” arbitrary user input and then pass it to a code interpreter. In dynamic code execution contexts, sanitization can give a false sense of security. A safer approach is to use strict allowlists or context-limited variables.
- If the term “sanitized” here actually means strict, context-specific allowlisting and tokenization (and not just generic escaping or string cleaning), that needs to be stated clearly, because it’s not obvious to everyone.
- 主要言語
- HTML
- スター
- 3.8k
- フォーク
- 855
- 平均マージ
- 1日 9時間
- マージ済み PR（30日）
- 8
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
OWASP/ASVS のほかの issue
-
V6 (prev V2)
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
メンテナーはふだん 1 日以内に返信
-
1) Discussion ongoing 4) proposal for review V3 (prev V50)
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
メンテナーはふだん 1 日以内に返信
-
Images and references pointing to old project page that does not exist anymore対応中かも @tghosth が 2 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 79/100
OWASP/ASVS#3424 · コメント 4 件 · 担当者 1 名 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
メンテナーはふだん 1 日以内に返信
-
4) proposal for review V3 (prev V50)
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
似ている issue
-
documentation
難易度 1/5 1時間未満 初心者へのやさしさ 90/100
teradata-labs/loom#663 ·
メンテナーはふだん 1 日以内に返信
-
area:mcp effort:low P5 source:agent
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
-
README says the land/sea mask must match the XS grid; the demo mask does not, and Step 4 works対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープンdocumentation
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
buckai-observatory/Automated-Cloud-Removal-and-Seamless-Satellite-Image-Mosaicking-Pipeline#52 ·
メンテナーはふだん 1 日以内に返信
-
documentation
難易度 1/5 1〜3時間 初心者へのやさしさ 84/100
メンテナーはふだん 1 日以内に返信