Защитная проверка org.sakaiproject.conversations:sakai-conversations-impl, org.sakaiproject.kernel:sakai-kernel-impl, org.sakaiproject.rubrics:rubrics-impl по GHSA-w2x5-gv52-9ccv: версия, обратимый fixture, PASS/FAIL/Unknown, stop-rule и обезличенный пакет доказательств.
Что проверить для org.sakaiproject.conversations:sakai-conversations-impl, org.sakaiproject.kernel:sakai-kernel-impl, org.sakaiproject.rubrics:rubrics-impl
Практический ответ начинается с inventory и одного обратимого отрицательного теста. Администратор не знает, отображается ли сохранённое содержимое conversations как текст во всех затронутых представлениях. Короткий ответ: подтвердите фактический досье и границу «maven/org.sakaiproject.conversations:sakai-conversations-impl >= 23.0, <= 23.3 → исправленная release не указана; maven/org.sakaiproject.kernel:sakai-kernel-impl >= 23.0, <= 23.3 → исправленная release не указана; maven/org.sakaiproject.rubrics:rubrics-impl >= 23.0, <= 23.3 → исправленная release не указана», затем выполните только обратимую проверку: в локальном курсе сохранить нейтральную строку с HTML-метасимволами и проверить DOM без исполняемых payload. Не используйте production, чужие данные или вредоносные payload. GitHub Advisory Database указывает severity high и обновление 2026-08-24; это приоритет для инвентаризации, а не доказательство атаки или массового спроса. Запишите digest сборки, resolved dependency и положение затронутой функции. Если досье транзитивный, имя образа или процесса не заменяет lock-файл, SBOM либо provenance артефакта.
Как определить применимость версии
Зафиксированная advisory-граница: maven/org.sakaiproject.conversations:sakai-conversations-impl >= 23.0, <= 23.3 → исправленная release не указана; maven/org.sakaiproject.kernel:sakai-kernel-impl >= 23.0, <= 23.3 → исправленная release не указана; maven/org.sakaiproject.rubrics:rubrics-impl >= 23.0, <= 23.3 → исправленная release не указана. Сопоставляйте её с реально загруженной библиотекой, а не только с manifest исходников. Разделите исход на `not_present`, `outside_range`, `affected_candidate`, `patched_or_backported` и `unknown`. Для fork архивируйте upstream commit и описание backport. Для категории `xss` отдельно отметьте, достигается ли соответствующий путь из доверенной зоны. Если branch или package не удаётся однозначно сопоставить, остановитесь на Unknown и не подменяйте факт общим советом «обновить всё».
Обратимый тест без опасного воспроизведения
Рекомендуемый fixture: в локальном курсе сохранить нейтральную строку с HTML-метасимволами и проверить DOM без исполняемых payload. До запуска подготовьте пустой временный контекст, ограничьте время и ресурсы, отключите внешнюю сеть и отметьте expected result. Сначала выполните benign positive control, который доказывает работоспособность функции. Затем один отрицательный случай, проверяющий только заявленную границу. Не переносите в fixture токены, персональные данные, реальные пути, production-конфигурацию или опубликованные proof-of-concept. После теста удалите временные сущности и подтвердите отсутствие изменения исходного состояния.
Критерии PASS, FAIL и Unknown
Практический артефакт: карта поле–контекст вывода–DOM node type–encoding–результат. PASS означает, что разрешённый control работает, а пограничный случай отклонён до нежелательного состояния. FAIL фиксируется только при работающем control и наблюдаемом нарушении заявленной границы. Unknown обязателен, если release не доказана, test harness не достиг нужного пути, результат нельзя прочитать обратно или ограничитель сам оборвал проверку. Для `xss` дополнительно отметьте время, память, нормализованный путь, субъект доступа либо контекст вывода — только те наблюдения, которые относятся к механизму.
План обновления и stop-rule
Если сборка попадает в затронутый диапазон, используйте поддерживаемую исправленную ветку из primary source и повторите тот же fixture до и после изменения. Не меняйте одновременно dependency, proxy, права и формат данных: иначе результат потеряет причинность. Stop-rule: немедленно завершите тест при росте ресурсов вне лимита, неожиданном сетевом обращении, записи за пределами временного каталога, попытке затронуть чужой объект или появлении реальных секретов. WAF, отсутствие жалоб и статус active не равны исправлению GHSA-w2x5-gv52-9ccv.
Что приложить к запросу поддержки
Сохраните GHSA-w2x5-gv52-9ccv, package name, resolved version, artifact digest, ветку и commit, feature state, hash синтетического fixture, выводы control и negative case, а также итог PASS/FAIL/Unknown. Приложите ссылки на GitHub Advisory Database и primary upstream source, но не вставляйте большие фрагменты чужого текста. Отдельная боль: администратор не знает, отображается ли сохранённое содержимое Conversations как текст во всех затронутых представлениях. Результат — карта поле–контекст вывода–DOM node type–encoding–результат. Механизм GHSA-w2x5-gv52-9ccv (Sakai Conversations has a Stored XSS Issue) не совпадает с соседними intent и требует собственного набора наблюдений. Такой досье позволяет maintainer повторить решение без доступа к production. Если advisory, локальная сборка и regression test расходятся, перечислите расхождение как Unknown вместо предположения о безопасности.
Контрольная карточка GHSA-w2x5-gv52-9ccv для xss
Карточка именно этого решения связывает вопрос «администратор не знает, отображается ли сохранённое содержимое Conversations как текст во всех затронутых представлениях» с проверкой «в локальном курсе сохранить нейтральную строку с HTML-метасимволами и проверить DOM без исполняемых payload». В первой строке укажите org.sakaiproject.conversations:sakai-conversations-impl, org.sakaiproject.kernel:sakai-kernel-impl, org.sakaiproject.rubrics:rubrics-impl, затем границу maven/org.sakaiproject.conversations:sakai-conversations-impl >= 23.0, <= 23.3 → исправленная release не указана; maven/org.sakaiproject.kernel:sakai-kernel-impl >= 23.0, <= 23.3 → исправленная release не указана; maven/org.sakaiproject.rubrics:rubrics-impl >= 23.0, <= 23.3 → исправленная release не указана. Во второй строке архивируйте исходный сигнал: Sakai Conversations has a Stored XSS Issue. Третья строка — ожидаемый практический результат «карта поле–контекст вывода–DOM node type–encoding–результат». Для этого механизма не подходят доказательства соседних страниц: название продукта, общий статус службы, один HTTP 200, отсутствие жалоб или скриншот интерфейса не отвечают на заявленный вопрос. Отдельно отметьте, какой benign control подтверждает достижимость пути, какое наблюдение считается отказом до побочного эффекта и при каком условии решение становится Unknown. Пакет не должен содержать токены, реальные имена, адреса узлов, содержимое документов, дампы памяти или полный production-log. Финальная подпись включает дату 2026-08-31, GHSA-w2x5-gv52-9ccv, digest сборки и ссылку на upstream. Так другой специалист проверит категорию xss по тем же полям, не повторяя опасный сценарий и не получая доступ к данным пользователя.
Минимальный record для повторной проверки sakai-conversations-stored-xss-output-check
Администратор не знает, отображается ли сохранённое содержимое conversations как текст во всех затронутых представлениях. Рабочее действие для этой карточки: в локальном курсе сохранить нейтральную строку с HTML-метасимволами и проверить DOM без исполняемых payload. Ожидаемый артефакт: карта поле–контекст вывода–DOM node type–encoding–результат. Upstream формулировка механизма: Sakai Conversations has a Stored XSS Issue. Компонентная граница: maven/org.sakaiproject.conversations:sakai-conversations-impl >= 23.0, <= 23.3 → исправленная версия не указана; maven/org.sakaiproject.kernel:sakai-kernel-impl >= 23.0, <= 23.3 → исправленная версия не указана; maven/org.sakaiproject.rubrics:rubrics-impl >= 23.0, <= 23.3 → исправленная версия не указана. Для output-context boundary используют только текст с безвредными HTML-метасимволами. Проверяют DOM node type, textContent/attribute context, отсутствие новых script/event nodes и отсутствие сетевых обращений. Не вставляют действующий JavaScript. PASS означает сохранение текста как данных во всех названных представлениях при работающем обычном отображении. Цепочка наблюдения «sakai → conversations → stored → xss → output → check» задаёт названия колонок и порядок read-back. Машиночитаемые ключи record: sakai-conversations-stored-xss-output-check-baseline, sakai-conversations-stored-xss-output-check-inventory, sakai-conversations-stored-xss-output-check-control, sakai-conversations-stored-xss-output-check-boundary, sakai-conversations-stored-xss-output-check-fixture, sakai-conversations-stored-xss-output-check-deadline, sakai-conversations-stored-xss-output-check-readback, sakai-conversations-stored-xss-output-check-sideeffects, sakai-conversations-stored-xss-output-check-verdict, sakai-conversations-stored-xss-output-check-provenance, sakai-conversations-stored-xss-output-check-rollback, sakai-conversations-stored-xss-output-check-timestamp, sakai-conversations-stored-xss-output-check-owner, sakai-conversations-stored-xss-output-check-digest, sakai-conversations-stored-xss-output-check-unknownreason. После обновления повторяется тот же fixture, поэтому изменение org.sakaiproject.conversations:sakai-conversations-impl, org.sakaiproject.kernel:sakai-kernel-impl, org.sakaiproject.rubrics:rubrics-impl можно отделить от изменения окружения. Для GHSA-w2x5-gv52-9ccv verdict остаётся Unknown при пропущенном control, несовпадающей ветке либо недоступном read-back.
Материал подготовлен редакцией VOne с помощью ИИ; версии, источники, безопасный fixture, stop-rule, privacy-ограничения и отсутствие рекламных обещаний перепроверены человеком.
Источники и проверка
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.