pySCG investigate on creating CWE-91 Prevent XML injection
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 4/5
- Tempo estimado
- 3-5 dias
- Facilidade para iniciantes
- 48/100
- Tipo de issue
- Documentação
- Clareza
- Razoavelmente clara
- Status de atividade
- Ativa
- Stack de tecnologia
- python, xml
- Domínio
- documentation, security
Direção de pesquisa
Read the CWE-472 HTML rule and the linked CVE descriptions for examples that could fit a CWE-91 rule. The issue highlights example length and dependencies outside Python’s standard library as constraints. Done means providing a suitable XML injection example and guidance for the rule; the issue does not name a file or test to start from.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Missing code examples that are suitable in terms of length and need to install additional modules.
XML as such is similar to html not python but we do have rule's on html such as CWE-472.
Challenging to avoid using a module from outside of the standard lib in the code examples.
CVEs that could lead to an alternative code example (CWE-91):
CVE-2021-36359 (nist.gov)
CVE-2018-1000632 (nist.gov)
CVE-2022-46751 (nist.gov)
Its mostly an issue due to disabling of a DTD or lack of using one and lack of input sanitation. Subsequently an attacker has a greater choice in how the xml is arranged. Input sanitation can furthermore limit the attack vector.
- Linguagem predominante
- Python
- Estrelas
- 2
- Forks
- 2
- Merge médio
- 11min
- PRs com merge (30d)
- 2
Preparar o ambiente
- Sem Dockerfile nem arquivo Docker Compose
- Sem modelo de pull request
- Ler o guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de ossf/python-secure-coding-guide
-
pyscg-0051 should use a context managerTalvez já em andamento @s19110 assumiu há 8 dias. Abertabug
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
ossf/python-secure-coding-guide#1 · 4 comentários · 1 responsável ·
-
Dificuldade 3/5 1-2 dias Facilidade para iniciantes 65/100
ossf/python-secure-coding-guide#29 · 1 comentário ·
-
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 25/100
-
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 25/100
-
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 25/100
Todas as issues de ossf/python-secure-coding-guide
Issues semelhantes
-
documentation type/bug
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
Mantenedores costumam responder em até 1 dia
-
add entry to blockAberta
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 65/100
StevenBlack/hosts#3299 ·
-
`garak --report` overwrites the input report when its name has no ".report"Talvez já em andamento @0z5a assumiu hoje. Abertaneeds-triage
Dificuldade 2/5 Meio dia Facilidade para iniciantes 72/100
Mantenedores costumam responder em até 2 dias
-
trace: Pi's 1-hour cache writes are priced at 1.25x, but billed at 2xTalvez já em andamento @Shizoqua assumiu hoje. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 82/100
microsoft/TokenEconomizer#221 ·
Mantenedores costumam responder em até 1 dia
-
plot_graph crashes when a mesh node has no m2m edgeTalvez já em andamento @tygvi assumiu hoje. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
mllam/neural-lam#883 · 1 comentário ·
Mantenedores costumam responder em até 2 dias