mimblewimble/grin

Rust-yaml dependency must be updated

Open

#2.175 aberto em 18 de dez. de 2018

Ver no GitHub
 (4 comments) (0 reactions) (0 assignees)Rust (991 forks)batch import
good first issuetask

Métricas do repositório

Stars
 (4.876 stars)
Métricas de merge de PR
 (Mesclagem média 6d 11h) (25 fundiu PRs em 30d)

Description

Currently we use 0.4.2 (used by serde) and 0.3.5 (used by clap). Cargo audit is unhappy:

$cargo audit
    Fetching advisory database from `https://github.com/RustSec/advisory-db.git`
      Loaded 17 security advisories (from /home/ubuntu/.cargo/advisory-db)
    Scanning Cargo.lock for vulnerabilities (311 crate dependencies)
error: Vulnerable crates found!

ID:      RUSTSEC-2018-0006
Crate:   yaml-rust
Version: 0.3.5
Date:    2018-09-17
URL:     https://github.com/chyh1990/yaml-rust/pull/109
Title:   Uncontrolled recursion leads to abort in deserialization
Solution: upgrade to: >= 0.4.1

error: 1 vulnerability found!

I sent a PR against clap, opening this issue to track the update https://github.com/clap-rs/clap/pull/1396

Guia do colaborador

Direção de pesquisa
O problema rastreia uma vulnerabilidade de segurança na dependência yaml rust. Um PR foi enviado ao clap para atualizar sua dependência (link: https://github.com/clap rs/clap/pull/1396). Para resolver este problema, o mantenedor precisa atualizar a versão do yaml rust no arquivo Cargo.toml, garantindo compatibilidade com a versão do serde. Verifique o PR vinculado para quaisquer alterações necessárias e teste a compilação.
Pilha de tecnologia
rust
Domain
blockchain
Tipo Issue
Segurança
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GitRust
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
75