alibaba/Sentinel

FasterXML jackson-databind 代码问题漏洞（CVE-2022-42003）

Open

#2.950 aberto em 14 de nov. de 2022

Ver no GitHub
 (7 comments) (0 reactions) (0 assignees)Java (8.150 forks)batch import
dependenciesgood first issue

Métricas do repositório

Stars
 (23.109 stars)
Métricas de merge de PR
 (Nenhuma PRs mesclada em 30d)

Description

最新sentinel-dashboard1.8.6 中jackson-databind 版本是jackson-databind-2.12.6.1.jar

有处理此漏洞的计划吗？

CVE编号 CVE-2022-42003 披露时间 2022-10-02

修复方案 建议受影响客户升级到2.14.0-rc2及以上安全版本，版本获取链接： https://github.com/FasterXML/jackson-databind

Guia do colaborador

Direção de pesquisa
Identifique a versão do jackson databind nos arquivos de dependência do projeto (pom.xml ou build.gradle), atualize para a versão 2.14.0 rc2 ou superior (por exemplo, 2.14.0 ou 2.15.0), verifique se todos os testes passam e procure por quebras de compatibilidade ou dependências conflitantes.
Pilha de tecnologia
java
Domain
backend
Tipo Issue
Segurança
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
Meio dia
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
Java
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
70