github / github/codeql

General issue: CWE-208 coverage for javascript

Aperta
#21,021 1 commento 0 reazioni 0 assegnatari Vedi su GitHub
question
Lingua principale
CodeQL
Stelle
10.1k
Fork
2.1k
Merge medio
2g 15h
PR unite (30g)
141

Descrizione

**Description**
CodeQL currently does not detect CWE-208 (Observable Timing Discrepancy) in JavaScript/TypeScript, while this weakness is covered in Java/Kotlin, Python and Ruby. This appears to be a language coverage gap rather than a configuration issue. [https://codeql.github.com/codeql-query-help/full-cwe/]

**Example**
In authentication or validation logic, I would expect CodeQL to at least be able
to model potential timing differences, for example:

``` js
if (value !== expectedValue) {
return res.status(401).json({ message: 'Invalid token' });
}
```

**Question**
Is there a plan to expand CodeQL query coverage for this weakness in the remaining languages?

Guida per i contributori

Apri la guida per i contributori

Direzione di ricerca

Start with the CodeQL query help page for full CWE coverage and compare CWE-208 support in Java/Kotlin, Python, and Ruby with the JavaScript/TypeScript gap described here. Clarify the intended coverage and implementation scope; done would mean an agreed plan or added CWE-208 coverage for JavaScript/TypeScript.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Valutazione

Stack tecnologico
javascript, typescript
Ambito
security
Tipo di issue
Funzionalità
Difficoltà
5/5
Tempo stimato
Più di una settimana
Stato di attività
Ferma
Chiarezza
Da chiarire
Idoneità per principianti
25/100

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.