mimblewimble/grin

Rust-yaml dependency must be updated

Open

#2,175 opened on 2018年12月18日

GitHub で見る
 (4 comments) (0 reactions) (0 assignees)Rust (991 forks)batch import
good first issuetask

Repository metrics

Stars
 (4,876 stars)
PR merge metrics
 (平均マージ 6d 11h) (30d で 25 merged PRs)

説明

Currently we use 0.4.2 (used by serde) and 0.3.5 (used by clap). Cargo audit is unhappy:

$cargo audit
    Fetching advisory database from `https://github.com/RustSec/advisory-db.git`
      Loaded 17 security advisories (from /home/ubuntu/.cargo/advisory-db)
    Scanning Cargo.lock for vulnerabilities (311 crate dependencies)
error: Vulnerable crates found!

ID:      RUSTSEC-2018-0006
Crate:   yaml-rust
Version: 0.3.5
Date:    2018-09-17
URL:     https://github.com/chyh1990/yaml-rust/pull/109
Title:   Uncontrolled recursion leads to abort in deserialization
Solution: upgrade to: >= 0.4.1

error: 1 vulnerability found!

I sent a PR against clap, opening this issue to track the update https://github.com/clap-rs/clap/pull/1396

コントリビューターガイド

調査方針
この問題は、yaml rust 依存関係のセキュリティ脆弱性を追跡しています。clap に依存関係を更新する PR が送信されました（リンク：https://github.com/clap rs/clap/pull/1396）。この問題を解決するには、メンテナーが Cargo.toml ファイル内の yaml rust のバージョンを更新し、serde のバージョンとの互換性を確保する必要があります。必要な変更についてはリンク先の PR を確認し、ビルドをテストしてください。
技術スタック
rust
領域
blockchain
Issue 種別
セキュリティ
難度新しい貢献者にとっての実装難度です。1 は非常に小さな変更、5 は専門的な作業です。
2
推定時間経験ある貢献者が調査、実装、テスト、pull request 準備にかけるおおよその時間範囲です。
1-3時間
活動状況Issue が今どれだけ取り組みやすいかを示します。新しい、活発、古い、ブロック中、またはメンテナー入力待ちなどです。
アクティブ
明確さ期待される変更、受け入れ条件、次の手順がどれだけ明確かを示します。
明確
前提条件
GitRust
初心者向け度初回貢献者にどれだけ取り組みやすいかを 1-100 で推定したスコアです。
75