[SECURITY] - 依赖软件 Apache Commons Configuration 1.10 有安全漏洞

未关闭

#4,843 创建于 2025年6月17日 1 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 4/5
预计耗时: 3-5 天
新手友好度: 35/100

Issue 类型: 缺陷
描述清晰度: 基本清楚
活跃度: 停滞
技术栈: java
领域: backend, security

调研方向

在 Java 构建文件中定位 Apache Commons Configuration 1.x 依赖项，并检查使用它的代码。在评估 2.x API 变更之前，先查阅 Apache 迁移指南和现有测试；完成的标准是：不再需要存在漏洞的 1.x 依赖项，且受影响的测试仍然通过。

由索引模型根据 Issue 内容生成。

描述

question

Steps to reproduce (if applicable)

Uncontrolled Resource Consumption vulnerability in Apache Commons Configuration 1.x. There are a number of issues in Apache Commons Configuration 1.x that allow excessive resource consumption when loading untrusted configurations or using unexpected usage patterns. The Apache Commons Configuration team does not intend to fix these issues in 1.x. Apache Commons Configuration 1.x is still safe to use in scenario's where you only load trusted configurations. Users that load untrusted configurations or give attackers control over usage patterns are recommended to upgrade to the 2.x version line, which fixes these issues. Apache Commons Configuration 2.x is not a drop-in replacement, but as it uses a separate Maven groupId and Java package namespace they can be loaded side-by-side, making it possible to do a gradual migration.

What have you tried so far?

升级依赖软件Apache Commons Configuration到2.x

Additional context

No response

主要语言: Java
星标: 1.9k
派生: 813
平均合并: 8 天 23 小时
30 天内合并 PR: 1

贡献指南

这个仓库没有索引到贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

apache/servicecomb-java-chassis 的其他 Issue

[SECURITY] - 依赖软件 org.apache.tomcat.embed:tomcat-embed-core:jar:10.1.40 有安全漏洞 bug 未关闭

bug

难度 2/5 1-3 小时新手友好度 65/100

apache/servicecomb-java-chassis#5106 · 2026年3月24日创建
[QUESTION] - Java Chassis 3 的 ssl.[tag].[property] tag是否支持接口级配置未关闭

question

难度 5/5 一周以上新手友好度 35/100

apache/servicecomb-java-chassis#5153 · 1 条评论 · 2026年8月7日创建
[QUESTION] - 请发布3.x的最新版本未关闭

question

难度 4/5 3-5 天新手友好度 25/100

apache/servicecomb-java-chassis#5146 · 2026年6月4日创建
[FEATURE] - When will ServiceComb support Spring Boot 4.x, Spring Framework 7.x, and Jackson 3.x? 未关闭

enhancement

难度 5/5 一周以上新手友好度 25/100

apache/servicecomb-java-chassis#5145 · 2026年6月3日创建
[BUG] - The latest instance information cannot be obtained when cache instances is empty. 未关闭

2.x bug

apache/servicecomb-java-chassis#5141 · 已指派 1 人 · 2026年5月19日创建

查看 apache/servicecomb-java-chassis 的全部 Issue

相似的 Issue

executions.Query — startDate and timeRange filters are sent with inverted comparison operators 未关闭

area/plugin

难度 2/5 1-3 小时新手友好度 75/100

kestra-io/plugin-kestra#190 · 2026年9月24日创建
litertlm-android AAR ships no consumer ProGuard rules → "mid == null" SIGABRT in minified apps 未关闭

难度 2/5 1-3 小时新手友好度 70/100

google-ai-edge/LiteRT-LM#3739 · 2026年9月24日创建
GeoRadiusResponse.equals throws for repeated GEOSEARCH results without WITHCOORD 未关闭

bug

难度 2/5 1-3 小时新手友好度 75/100

redis/jedis#4746 · 1 条评论 · 2026年9月24日创建
Add canonical URLs and a sitemap 未关闭

难度 2/5 1-3 小时新手友好度 75/100

integra-team-red/meet-map#249 · 2026年9月24日创建
[Studio][Bug] Cancelled create-user dialog keeps the password and admin switch for the next attempt 未关闭

难度 2/5 1-3 小时新手友好度 75/100

apache/rocketmq-dashboard#5064 · 2026年9月24日创建

更多 Java Issue