alibaba/Sentinel

FasterXML jackson-databind 代码问题漏洞（CVE-2022-42003）

开放

#2,950 创建于 2022年11月14日

在 GitHub 查看贡献者指南
 (7 条评论) (0 个反应) (0 位负责人)Java (8,150 个派生)batch import
dependenciesgood first issue

仓库指标

星标
 (23,109 个星标)
PR 合并指标
 (PR 指标待抓取)

描述

最新sentinel-dashboard1.8.6 中jackson-databind 版本是jackson-databind-2.12.6.1.jar

有处理此漏洞的计划吗？

CVE编号 CVE-2022-42003 披露时间 2022-10-02

修复方案 建议受影响客户升级到2.14.0-rc2及以上安全版本，版本获取链接： https://github.com/FasterXML/jackson-databind

贡献者指南

研究方向
在项目的依赖文件（pom.xml或build.gradle）中查找jackson databind的版本，将其更新到2.14.0 rc2或更高版本（例如2.14.0或2.15.0），验证所有测试通过，并检查是否存在任何破坏性更改或冲突的依赖项。
技术栈
java
领域
backend
议题类型
安全
难度面向新贡献者的预计实现难度，1 表示很小改动，5 表示专家级工作。
2
预计时间有经验贡献者完成调查、实现、测试并准备 pull request 的粗略时间范围。
半天
活动状态议题当前的可参与程度：新鲜、活跃、陈旧、阻塞或等待维护者输入。
活跃
清晰度议题是否清楚说明期望改动、验收标准和下一步。
清晰
前置要求
Java
新手友好度1-100 的估计分数，表示该议题对首次贡献者的友好程度。
70