Created attachment 3552 [details] фильтрация спец-символов в выводе На странице пакета на вкладке repocop выводится список сообщений тестов repocop для пакета, при этом вывод этих сообщений не фильтруется на предмет наличия спец-символов: < > & Например, такой тест, как unsafe-tmp-usage-in-scripts в своём выводе содержит куски кода из sh-скриптов пакета, что теоретически позволяет путём "нечаянного" создания специально-сформированного sh-скрипта в исходниках пакета провести XSS-атаку ;)
Патч приложен. Спасибо. 2 dottedmag: а разве баги, помеченные как security, не должны быть скрыты от общественности?
Keyword security - это просто keyword. Для скрытия надо было при загоне бага нажать на галочку "Security Group" (и тогда keyword бы доставился автоматически). Увы, это багзилла.
ок, закрываю.
