General issue: CWE-208 coverage for javascript
- Vorherrschende Sprache
- CodeQL
- Sterne
- 10.1k
- Forks
- 2.1k
- Ø Merge
- 2 T. 15 Std.
- Gemergte PRs (30 T.)
- 141
Beschreibung
**Description**
CodeQL currently does not detect CWE-208 (Observable Timing Discrepancy) in JavaScript/TypeScript, while this weakness is covered in Java/Kotlin, Python and Ruby. This appears to be a language coverage gap rather than a configuration issue. [https://codeql.github.com/codeql-query-help/full-cwe/]
**Example**
In authentication or validation logic, I would expect CodeQL to at least be able
to model potential timing differences, for example:
``` js
if (value !== expectedValue) {
return res.status(401).json({ message: 'Invalid token' });
}
```
**Question**
Is there a plan to expand CodeQL query coverage for this weakness in the remaining languages?
Beitragsleitfaden
Rechercherichtung
Beginne mit der CodeQL-Hilfeseite für Abfragen zur vollständigen CWE-Abdeckung und vergleiche die Unterstützung für CWE-208 in Java/Kotlin, Python und Ruby mit der hier beschriebenen Lücke bei JavaScript/TypeScript. Kläre die beabsichtigte Abdeckung und den Implementierungsumfang; als abgeschlossen gilt die Arbeit, wenn ein abgestimmter Plan vorliegt oder eine CWE-208-Abdeckung für JavaScript/TypeScript hinzugefügt wurde.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Bewertung
- Tech-Stack
- javascript, typescript
- Bereich
- security
- Issue-Typ
- Feature
- Schwierigkeit
- 5/5
- Geschätzter Aufwand
- Über eine Woche
- Aktivitätsstatus
- Veraltet
- Klarheit
- Muss geklärt werden
- Anfängerfreundlichkeit
- 25/100