[CVE-2025-12183] HIGH: lz4-java 1.8.0 - Out-of-bounds memory and information disclosure
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 3/5
- Thời gian dự kiến
- 1-2 ngày
- Mức phù hợp với người mới
- 42/100
Hướng nghiên cứu
Bắt đầu bằng cách xác định dependency org.lz4:lz4-java 1.8.0 được sử dụng để build workers.jar. Kiểm tra các phiên bản đã sửa hiện có cho cả CVE-2025-12183 và CVE-2025-66566, sau đó chạy lại quá trình quét lỗ hổng container; công việc được coi là hoàn tất khi dependency dễ bị tấn công đã được xử lý và quá trình quét không còn báo cáo các CVE này.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Vulnerability Report
| Field | Value |
|---|---|
| CVEs | CVE-2025-12183, CVE-2025-66566 |
| Severity | HIGH (2 CVEs) |
| Library | org.lz4:lz4-java |
| Source | workers.jar |
| Installed Version | 1.8.0 |
| Fixed Version | 1.8.1 (CVE-2025-12183); unknown (CVE-2025-66566) |
Summary
Two vulnerabilities in lz4-java:
- CVE-2025-12183 - Out-of-bounds memory operations lead to denial of service and information disclosure
- CVE-2025-66566 - Information Disclosure via Insufficient Output Buffer Clearing
References
Filed from container vulnerability scan of workers.jar
- Ngôn ngữ chính
- Java
- Star
- 15
- Fork
- 10
- Merge trung bình
- 1 ngày 23 giờ
- Pull request đã merge (30 ngày)
- 3
Chuẩn bị môi trường
- Không có Dockerfile hay tệp Docker Compose
- Có mẫu pull request
- Đọc hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của conductor-oss/java-sdk
-
bug
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100
conductor-oss/java-sdk#135 ·
-
EXCLUSIVE_JOIN task: missing builder class; defaultExclusiveJoinTask unreachableCó thể đã có người làm Có pull request liên kết đang mở hoặc đã được merge. Đang mởbug
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 74/100
conductor-oss/java-sdk#133 ·
-
HUMAN task: missing builder classCó thể đã có người làm @v1r3n đã nhận 65 ngày trước. Đang mởbug
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 92/100
conductor-oss/java-sdk#132 ·
-
bug
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 85/100
conductor-oss/java-sdk#131 ·
-
NOOP task: missing builder classĐang mởbug
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 86/100
conductor-oss/java-sdk#130 ·
Tất cả issue của conductor-oss/java-sdk
Issue tương tự
-
`GET /v1/event/token/{uuid}` can report a BOM upload as done before policy evaluation and metrics have finishedCó thể đã có người làm @Zargath đã nhận hôm nay. Đang mởdefect in triage
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
DependencyTrack/dependency-track#7646 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 62/100
floci-io/floci#5425 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 85/100
objectionary/eo-graphs#80 ·
-
WebMvcStreamableServerTransportProvider: idle-session eviction stops permanently after a NullPointerException when a session is deleted mid-sweepCó thể đã có người làm @lejuho đã nhận hôm nay. Đang mởstatus: waiting-for-triage
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
spring-projects/spring-ai#7133 ·
Maintainer thường phản hồi trong vòng 6 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
objectionary/jucs#141 ·
Maintainer thường phản hồi trong vòng 1 ngày