apache/airflow

Fix User name and other parameters potentially containing HTLM characters

Open

#36,270 opened on 2023年12月17日

GitHub で見る
 (5 comments) (0 reactions) (0 assignees)Python (44,809 stars) (16,781 forks)batch import
good first issuekind:meta

説明

Body

The User name and other parameters should be validated to not contain characters that might contain HTML-invalid characters. Also when they do, they should be escaped when rendered on HTML pages.

Committer

  • I acknowledge that I am a maintainer/committer of the Apache Airflow project.

コントリビューターガイド

技術スタック
pythonflaskhtml
領域
securitybackend
Issue 種別
security
難度新しい貢献者にとっての実装難度です。1 は非常に小さな変更、5 は専門的な作業です。
2
推定時間経験ある貢献者が調査、実装、テスト、pull request 準備にかけるおおよその時間範囲です。
1-3 hours
活動状況Issue が今どれだけ取り組みやすいかを示します。新しい、活発、古い、ブロック中、またはメンテナー入力待ちなどです。
active
明確さ期待される変更、受け入れ条件、次の手順がどれだけ明確かを示します。
mostly clear
前提条件
PythonFlaskHTML escaping
初心者向け度初回貢献者にどれだけ取り組みやすいかを 1-100 で推定したスコアです。
70
調査方針
Investigate where user names and other user supplied parameters are rendered in HTML pages in Airflow. Look at the user model and Flask templates (Jinja2). Check if there is existing validation or escaping. The fix should sanitize input to reject HTML invalid characters or ensure output is escaped using Jinja's escape filter or similar.