Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

False positive reported on SnakeYAML CVE-2022-1471

Đang mở
  • Có gì không ổn?
#444 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
45/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
java
Lĩnh vực
security

Hướng nghiên cứu

Payload không nêu tên tệp hoặc bài kiểm thử nào trong repository. Trước tiên, hãy xác định nơi dependency org.yaml:snakeyaml hoặc dữ liệu lỗ hổng được thể hiện trong repository này, sau đó tái hiện quá trình quét Xray cho phiên bản 2.6. Công việc được xem là hoàn tất khi CVE-2022-1471 không còn được báo cáo đối với các phiên bản SnakeYAML từ 2.0 trở lên.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Describe the bug
Xray reports CVE-2022-1471 against org.yaml:snakeyaml 2.6. This CVE only affects SnakeYAML versions < 2.0 where the unsafe Constructor() class was the default. In 2.0+, SafeConstructor is the default and the vulnerability does not apply.

To Reproduce
Xray scan a software containing org.yaml:snakeyaml 2.6 and see CVE-2022-1471 reported. This CVE impacts SnakeYAML < 2.0 only. Version 2.6 is well above the fix threshold.

Expected behavior
CVE-2022-1471 should not be reported for SnakeYAML >= 2.0, as the vulnerability was resolved by making SafeConstructor the default in that version.

Versions

  • Package: org.yaml:snakeyaml:2.6
  • Vulnerable range per NVD: < 2.0
  • Fix version: 2.0

Additional context
NVD advisory: https://github.com/advisories/GHSA-mjmj-j48q-9wg2

Ngôn ngữ chính
Java
Star
331
Fork
164
Merge trung bình
20 giờ 9 phút
Pull request đã merge (30 ngày)
1

Chuẩn bị môi trường

  • Không có Dockerfile hay tệp Docker Compose
  • Có mẫu pull request
  • Không có hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của jfrog/artifactory-client-java

Tất cả issue của jfrog/artifactory-client-java

Issue tương tự

Thêm issue về Java

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.