github / github/codeql

General issue: CWE-208 coverage for javascript

Offen
#21,021 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen
question
Vorherrschende Sprache
CodeQL
Sterne
10.1k
Forks
2.1k
Ø Merge
2 T. 15 Std.
Gemergte PRs (30 T.)
141

Beschreibung

**Description**
CodeQL currently does not detect CWE-208 (Observable Timing Discrepancy) in JavaScript/TypeScript, while this weakness is covered in Java/Kotlin, Python and Ruby. This appears to be a language coverage gap rather than a configuration issue. [https://codeql.github.com/codeql-query-help/full-cwe/]

**Example**
In authentication or validation logic, I would expect CodeQL to at least be able
to model potential timing differences, for example:

``` js
if (value !== expectedValue) {
return res.status(401).json({ message: 'Invalid token' });
}
```

**Question**
Is there a plan to expand CodeQL query coverage for this weakness in the remaining languages?

Beitragsleitfaden

Beitragsleitfaden öffnen

Rechercherichtung

Beginne mit der CodeQL-Hilfeseite für Abfragen zur vollständigen CWE-Abdeckung und vergleiche die Unterstützung für CWE-208 in Java/Kotlin, Python und Ruby mit der hier beschriebenen Lücke bei JavaScript/TypeScript. Kläre die beabsichtigte Abdeckung und den Implementierungsumfang; als abgeschlossen gilt die Arbeit, wenn ein abgestimmter Plan vorliegt oder eine CWE-208-Abdeckung für JavaScript/TypeScript hinzugefügt wurde.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Bewertung

Tech-Stack
javascript, typescript
Bereich
security
Issue-Typ
Feature
Schwierigkeit
5/5
Geschätzter Aufwand
Über eine Woche
Aktivitätsstatus
Veraltet
Klarheit
Muss geklärt werden
Anfängerfreundlichkeit
25/100

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.