cloudfoundry / cloudfoundry/cf-java-client
Dependency to com.squareup.wire:wire-runtime:2.2.0 with CVEs
Personne n'a encore pris cette issue.
- Langage dominant
- Java
- Étoiles
- 334
- Forks
- 319
- Métriques de merge des PR
- Aucune PR mergée en 30 j
Description
Dependency Security Scans of our project indicate that through org.cloudfoundry:cloudfoundry-client:5.6.0-RELEASE (most recent version as of writing) the dependency com.squareup.wire:wire-runtime:2.2.0 is declared.
This version is known to be subject to (at least) 3 CVEs (evidence):
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8908
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-15250
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-10237
The most current version of wire-runtime is 4.0.1, dating from December 2021, which apparently has these CVEs fixed.
Is it possible for the project to bump to a newer version to resolve the associated security risks?
Guide de contribution
Aucun guide de contribution indexé pour ce dépôt
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Piste de recherche
Commencez par la déclaration de dépendance cloudfoundry-client liée dans l’issue et examinez comment wire-runtime 2.2.0 est résolu dans le projet Java. Vérifiez si une version plus récente de wire-runtime est compatible avec le client, puis vérifiez que le build et les tests existants passent ; le travail est considéré comme terminé lorsque la version affectée par le CVE indiquée n’est plus utilisée.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Évaluation
- Stack technique
- java
- Domaine
- security
- Type d'issue
- Bug
- Difficulté
- 4/5
- Temps estimé
- 3-5 jours
- Activité
- À l'abandon
- Clarté
- Plutôt claire
- Accessibilité débutants
- 38/100