SnakeYAML 1.27 vulnerability in Jinjava 2.7.1

未关闭

#1,115 创建于 2023年9月14日 1 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 3/5
预计耗时: 1-2 天
新手友好度: 35/100

Issue 类型: 缺陷
描述清晰度: 基本清楚
活跃度: 停滞
技术栈: java
领域: security

调研方向

首先定位将 SnakeYAML 引入 Jinjava 的 Maven 依赖声明，然后检查其中引用的 Jinjava 和 Jackson YAML 版本。选择一个兼容且不存在漏洞的版本后，运行现有测试套件；完成的标准是依赖已在没有回归的情况下升级，并且报告的 SnakeYAML 漏洞已得到解决。

由索引模型根据 Issue 内容生成。

描述

Hi Team,
We recently found out that SnakeYAML library 1.27 has some vulnerabilities which are fixed in later versions-

snakeyaml 1.27 1.31 java-archive GHSA-3mc7-4q67-w48m High
snakeyaml 1.27 1.31 java-archive GHSA-98wm-3w3q-mw94 Medium
snakeyaml 1.27 1.31 java-archive GHSA-c4r9-r8fh-9vj2 Medium
snakeyaml 1.27 1.31 java-archive GHSA-hhhw-99gj-p3c3 Medium
snakeyaml 1.27 1.32 java-archive GHSA-9w3m-gqgf-c4p9 Medium
snakeyaml 1.27 1.32 java-archive GHSA-w37g-rhq8-7m4j Medium
snakeyaml 1.27 2.0 java-archive GHSA-mjmj-j48q-9wg2 High

I traced down the version of Snakeyaml for the 2.7.1 Jinjava -

Maven Repository: com.hubspot.jinjava » jinjava » 2.7.1
As per their POM https://repo1.maven.org/maven2/com/hubspot/jinjava/jinjava/2.7.0/jinjava-2.7.0.pom
Maven Repository: com.fasterxml.jackson.dataformat » jackson-dataformat-yaml » 2.12.6
-->
https://repo1.maven.org/maven2/com/fasterxml/jackson/dataformat/jackson-dataformat-yaml/2.12.6/jackson-dataformat-yaml-2.12.6.pom
--> SnakeYAML 1.27

Could we please prioritize this for the next release ? This will be a great relief for all the users.
Regards,
Souptik

主要语言: Java
星标: 785
派生: 184
平均合并: 6 天 22 小时
30 天内合并 PR: 1

贡献指南

打开贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

HubSpot/jinjava 的其他 Issue

Upgrade jsoup Dependency to Address CVE-2026-71497 未关闭

难度 2/5 1-3 小时新手友好度 64/100

HubSpot/jinjava#1335 · 1 条评论 · 2026年8月18日创建
Jinjava 3.0 未关闭

HubSpot/jinjava#1288 · 已指派 1 人 · 2026年3月3日创建
Upgrade to Jackson 3.0.0 未关闭

难度 4/5 3-5 天新手友好度 35/100

HubSpot/jinjava#1264 · 2025年10月21日创建
Inconsistent expression evaluation for nested expressions 未关闭

难度 3/5 1-2 天新手友好度 68/100

HubSpot/jinjava#1260 · 1 条评论 · 2 个 reaction · 2025年9月19日创建
Cannot evaluate null-returning expression in DoTag when failOnUnknownTokens is enabled 未关闭

难度 3/5 1-2 天新手友好度 45/100

HubSpot/jinjava#1259 · 1 个 reaction · 2025年9月19日创建

查看 HubSpot/jinjava 的全部 Issue

相似的 Issue

Compatibility certification request for FJ-EAP 2.1.0 for Jakarta EE Platform 11 未关闭

certification

难度 1/5 1 小时以内新手友好度 80/100

jakartaee/platform#1359 · 2026年9月24日创建
Python guide test runner copies stale Micronaut Test Resources state 未关闭

难度 2/5 1-3 小时新手友好度 75/100

micronaut-projects/micronaut-guides#1856 · 2026年9月23日创建
[BUG] ECR GetAuthorizationToken returns a proxyEndpoint for the default region, not the request's 未关闭

bug ecr

难度 2/5 1-3 小时新手友好度 75/100

floci-io/floci#4264 · 2026年9月23日创建
Drop point numbers from GitHub milestones 未关闭

Needs: Triage Type: Feature request

难度 2/5 1-3 小时新手友好度 70/100

AntennaPod/AntennaPod#8794 · 2026年9月23日创建
[aw] Issue Classification Agent timed out 未关闭

agentic-workflows

难度 2/5 1-3 小时新手友好度 65/100

github/copilot-sdk#2760 · 2026年9月23日创建

更多 Java Issue