Xavfsizlik xatoligini ommaviy GitHub Issue sifatida ochmang. Buning o'rniga quyidagi yopiq kanallardan biriga xabar bering, shunda biz uni tuzatib, javob bermay turib chiqmaymiz.

Murojaat: GitHub Security Advisory (repo'dagi Security yorlig'i orqali).

Iltimos, xabaringizda quyidagilarni ko'rsating:

• Hujum sahnasi (qaysi buyruq, qaysi fayl).
• Reproduktsiya qadamlari (minimal .uzpp fayl yoki buyruq).
• Mumkin bo'lgan zarar (masofadan kod ijro etish? mahalliy fayl o'qish?).
• Sizningcha, qanday tuzatish kerak.

Loyiha bitta dasturchi tomonidan boshqarilmoqda — chuqur sabr-toqat uchun oldindan rahmat.

uz++ kompilyator va transpilyatsiya vositasi sifatida ishlatiladi: u .uzpp faylini C++ ga aylantiradi va keyin g++/clang++ ni chaqiradi. Hujum yuzasi:

• ✅ Path traversal in ulash — yopiq (commit a12a84a, src/parser.cpp::parseIncludeStatement, negative tests tests/negative/path_traversal_*.uzpp).
• ✅ Shell injection in compiler/uzpm/run — yumshatildi (commit a12a84a, isShellSafePath/isValidPackageName/isValidPackageUrl in src/main.cpp). To'liq system() o'rniga posix_spawn ga o'tish kelajakda rejalashtirilgan.
• ⚠️ Untrusted .uzpp ni qurish — sizning g++ ga shu kompilyatsiya qilinishini bildiradi. Notanish .uzpp fayllarini sandbox tashqarisida qurish — doim xavfli, hatto tilning o'zi xavfsiz bo'lsa ham. Shu sababli notanish .uzpp fayllarni faqat izolatsiya qilingan muhitda quring.
• ⚠️ uzpm install — paket fayllari https:// orqali yuklab olinadi. Markaziy reestr uzlang/uzpm-registry SHA256 sumlarni tekshiradi. Boshqa manbalar uchun siz o'zingiz mas'ulsiz.