matrix-org/synapse

Upgrade to Bleach 1.5, to limit link schemes to an allowlist

Open

#2,860 opened on 2018年2月9日

GitHub で見る
 (3 comments) (0 reactions) (0 assignees)Python (11,713 stars) (2,196 forks)batch import
A-Email-PushP4T-EnhancementZ-Help-Wantedgood first issue

説明

The 1.5 version of Bleach made the allowed protocols configurable: http://bleach.readthedocs.io/en/latest/clean.html#allowed-protocols-protocols

Once the dependency is updated, the safe_markup function in the mailer can be updated and these lines can be uncommented: https://github.com/matrix-org/synapse/blob/42b50483be2b022735f8ae2107314d51e92e8471/synapse/push/mailer.py#L76-L77

コントリビューターガイド

技術スタック
python
領域
backendsecurity
Issue 種別
security
難度新しい貢献者にとっての実装難度です。1 は非常に小さな変更、5 は専門的な作業です。
2
推定時間経験ある貢献者が調査、実装、テスト、pull request 準備にかけるおおよその時間範囲です。
under 1 hour
活動状況Issue が今どれだけ取り組みやすいかを示します。新しい、活発、古い、ブロック中、またはメンテナー入力待ちなどです。
stale
明確さ期待される変更、受け入れ条件、次の手順がどれだけ明確かを示します。
clear
前提条件
Pythonpip
初心者向け度初回貢献者にどれだけ取り組みやすいかを 1-100 で推定したスコアです。
85
調査方針
First, upgrade the Bleach dependency in the project's requirements file (e.g., requirements.txt) to version 1.5. Then, modify the `safe markup` function in `synapse/push/mailer.py` to uncomment the lines (L76 L77) that configure allowed protocols, following Bleach's new API. Finally, ensure tests pass and consider adding a test for the new allowlist behavior.