apache/dubbo

Test YamlCodec to ensure no CVE issue

Fechada

#13.799 aberto em 26 de fev. de 2024

Ver no GitHubGuia do colaborador
 (4 comentários) (0 reação) (1 responsável)Java (26.453 forks)batch import
component/sdkgood first issuehelp wantedtype/discussion

Métricas do repositório

Stars
 (41.524 estrelas)
Métricas de merge de PR
 (Mesclagem média 7d 14h) (20 fundiu PRs em 30d)

Description

Currently using loadAs to parse http message, need to add unit test ensure no CVE issue. as with JSON, not to enable any object deserialization.

Guia do colaborador

Direção de pesquisa
The issue requests adding unit tests for YamlCodec to ensure no unsafe deserialization vulnerabilities. Look at the existing JSON codec tests for patterns (e.g., avoid enabling object deserialization). The main class to test is likely YamlCodec, located in the dubbo common module. The test should verify that loadAs does not allow arbitrary object deserialization, similar to JSON tests. Check the test directory for similar test cases and follow the same structure.
Pilha de tecnologia
java
Domain
testingsecurity
Tipo Issue
Teste
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
Menos de 1 hora
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
JavaJUnitYAML parsingApache Dubbo basics
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
40