Вся цепочка YAML-парсеров на Rust потеряла поддержку: yaml-rust, unsafe-libyaml и serde_yml

Поддержка основных крейтов для работы с YAML в экосистеме Rust фактически прекратилась — бюллетени вышли в разное время, но описывают одну и ту же картину.

yaml-rust

Мейнтейнер yaml-rust недоступен: множество issue и pull request осталось без ответа годами. Рекомендуется переход на активно развиваемый форк yaml-rust2. Бюллетень от марта 2024 года.

unsafe-libyaml

Репозиторий unsafe-libyaml заархивирован владельцем в марте 2024 года и переведён в режим чтения. Это машинный перевод C-кода libyaml в небезопасный Rust; найденные в нём ошибки исправлены не будут. Он используется в serde_yaml (самом по себе уже устаревшем) и форках вроде serdeyamlng.

serde_yml

Использование serde_yml::ser::Serializer::emitter приводит к сегментации — это неопределённое поведение. Проект на GitHub заархивирован после сообщений о небезопасности. Рекомендуются форки serde_norway и serdeyamlng.

Оригинал

RUSTSEC-2024-0320, RUSTSEC-2024-0449, RUSTSEC-2025-0068