Vulnerabilidad en check-jsonschema (CVE-2024-53848)

check-jsonschema es una CLI y un conjunto de ganchos de pre-confirmación para la validación de jsonschema. La estrategia de caché predeterminada utiliza el nombre base de un esquema remoto como el nombre del archivo en la caché, p. ej., `https://example.org/schema.json` se almacenará como `schema.json`. Este nombre permite conflictos. Si un atacante puede lograr que un usuario ejecute `check-jsonschema` contra una URL de esquema malintencionada, p. ej., `https://example.evil.org/schema.json`, puede insertar su propio esquema en la caché y se seleccionará y usará en lugar del esquema apropiado. Un ataque de confusión de caché de este tipo podría usarse para permitir que los datos pasen la validación que deberían haber sido rechazados. Este problema se ha corregido en la versión 0.30.0. Se recomienda a todos los usuarios que actualicen. Existen algunos workaround: 1. Los usuarios pueden usar `--no-cache` para deshabilitar el almacenamiento en caché. 2. Los usuarios pueden usar `--cache-filename` para seleccionar nombres de archivos para usar en la memoria caché o para garantizar que otros usos no sobrescriban el esquema almacenado en caché. (Nota: esta opción se está descontinuando como parte del esfuerzo de remediación). 3. Los usuarios pueden descargar explícitamente el esquema antes de usarlo como un archivo local, como en `curl -LOs https://example.org/schema.json; check-jsonschema --schemafile ./schema.json`