RUSTSEC-2026-0178: Panic on a `DataRow` with fewer fields than columns allows denial of service
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 3/5
- Tempo estimado
- 1-2 dias
- Facilidade para iniciantes
- 48/100
Direção de pesquisa
Comece pela dependência tokio-postgres 0.7.15 do graph-node e, em seguida, leia o commit upstream vinculado e o advisory RUSTSEC-2026-0178. Confirme como a dependência é resolvida e atualize-a para uma versão corrigida de pelo menos 0.7.18; considera-se concluído quando a dependência afetada não for mais selecionada e as verificações relevantes forem aprovadas.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Panic on a
DataRowwith fewer fields than columns allows denial of service
| Details | |
|---|---|
| Package | tokio-postgres |
| Version | 0.7.15 |
| URL | https://github.com/rust-postgres/rust-postgres/commit/7a00ffa9ad4d951ec0a4564b52f1780fa9d353c1 |
| Date | 2026-06-12 |
| Patched versions | >=0.7.18 |
| Unaffected versions | <0.4.0 |
A malicious or compromised server can send a row containing fewer fields than
its row description declares columns. Reading one of the missing columns then
panics with an out-of-bounds index, aborting the calling task. This affects even
the otherwise non-panicking try_get, and both Row and SimpleQueryRow.
Applications that connect only to a trusted database are not exposed; the risk
applies to clients that may connect to untrusted or user-supplied servers, or
whose connection can be intercepted by a man-in-the-middle.
See advisory page for additional details.
- Linguagem predominante
- Rust
- Estrelas
- 3.2k
- Forks
- 1.1k
- Merge médio
- 4d 1h
- PRs com merge (30d)
- 1
Guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de graphprotocol/graph-node
-
current: include emits an all-null bucket for dimensionless aggregations, nulling the whole response Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
graphprotocol/graph-node#6719 ·
-
RUSTSEC-2026-0194: Quadratic run time when checking a start tag for duplicate attribute names Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
graphprotocol/graph-node#6673 ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
graphprotocol/graph-node#6650 · 1 comentário ·
-
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 48/100
graphprotocol/graph-node#6722 ·
-
Dificuldade 3/5 1-2 dias Facilidade para iniciantes 68/100
graphprotocol/graph-node#6721 ·
Todas as issues de graphprotocol/graph-node
Issues semelhantes
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 88/100
-
bug core
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 86/100
-
JIT-compiled number -> Decimal conversion silently overflows instead of raising DECIMAL_OVERFLOW Abertafuzz
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 82/100
ClickHouse/ClickHouse#122114 ·
-
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 92/100
linebender/vello_svg#90 ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 74/100