graphprotocol / graphprotocol/graph-node
RUSTSEC-2026-0180: Panic decoding a malformed `hstore` value allows denial of service
まだ誰も着手していません。
- 主要言語
- Rust
- スター
- 3.2k
- フォーク
- 1.1k
- 平均マージ
- 4日 1時間
- マージ済み PR（30日）
- 1
説明
Panic decoding a malformed
hstorevalue allows denial of service
| Details | |
|---|---|
| Package | postgres-protocol |
| Version | 0.6.9 |
| URL | https://github.com/rust-postgres/rust-postgres/commit/a7cf84b5c46431cbca9d8ff50508c23f446efa7d |
| Date | 2026-06-12 |
| Patched versions | >=0.6.12 |
A malicious or compromised server can return a binary hstore value with an
invalid internal length field, causing the client to panic while decoding it.
Applications that connect only to a trusted database are not exposed; the risk
applies to clients that may connect to untrusted or user-supplied servers, or
whose connection can be intercepted by a man-in-the-middle.
See advisory page for additional details.
コントリビューションガイド
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
調査の方向性
ソースファイル、テスト、エントリーポイントのいずれも指定されていません。まず、リンクされている RUSTSEC-2026-0180 のアドバイザリを読み、graph-node が postgres-protocol 依存関係をどのように解決しているかを調べてください。影響を受けるパッケージが 0.6.12 未満では解決されなくなったことを確認し、関連するデータベース接続パスを検証できれば完了です。
索引モデルが issue の本文から書いたものです。
評価
- 技術スタック
- postgres, rust
- 領域
- backend, databases, security
- issue の種類
- バグ
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 活発さ
- 静か
- 明瞭さ
- 説明が足りない
- 初心者へのやさしさ
- 35/100