yegor256/factbase

Security concern: It's very dangerous to use `Marshal.load` with untrusted data.

Open

#106 aberto em 24 de jul. de 2024

Ver no GitHub
 (11 comments) (0 reactions) (0 assignees)Ruby (17 forks)github user discovery
bughelp wanted

Métricas do repositório

Stars
 (19 stars)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

See security recommendations for details.

It's used in baza. As far as I understand the code, the data was received from an HTTP request, which makes the data untrusted.

https://github.com/yegor256/factbase/blob/51d357c5d3c7411191a43c0184e0f43adba53e78/lib/factbase.rb#L218

Guia do colaborador

Direção de pesquisa
Examine o uso de Marshal.load em front push.rb e factbase.rb. Entenda o fluxo de dados de requisições HTTP. Pesquise alternativas seguras de desserialização como JSON ou uso de Marshal em sandbox.
Pilha de tecnologia
ruby
Domain
backendsecurity
Tipo Issue
Segurança
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
RubyMarshal
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
50