Hacktoberfest 2026: die Issues, die Maintainer für den Oktober markiert haben – offen und einsteigerfreundlich. Hacktoberfest-Issues durchsuchen

Security: enforce ownership and auth on user profile and saved policy routes

Offen
  • Stimmt etwas nicht?
#3,395 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 3 Tagen

Dieses Issue hat noch niemand übernommen.

  • #3975 von @anth-volk — ohne Merge geschlossen

Bewertung

Schwierigkeit
4/5
Geschätzter Aufwand
3-5 Tage
Anfängerfreundlichkeit
38/100
Issue-Typ
Bug
Klarheit
Größtenteils klar
Aktivitätsstatus
Ruhig
Tech-Stack
python
Bereich
api, authentication, authorization, backend, security

Rechercherichtung

Lies policyengine_api/routes/user_profile_routes.py, policyengine_api/endpoints/policy.py und die Route-Mounts in policyengine_api/api.py. Identifiziere den bestehenden Authentifizierungsmechanismus und wie der validierte Principal offengelegt wird, bevor du Autorisierungstests für benutzerübergreifenden Zugriff hinzufügst. Erledigt bedeutet, dass user-profile- und saved-policy-Routen eine Authentifizierung erfordern und vom Aufrufer angegebene fremde auth0_id- oder user_id-Werte ablehnen.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Summary

policyengine-api exposes unauthenticated user-profile and user-policy routes with caller-controlled identifiers.

Severity

High

Impact

Any client can create, read, or mutate another user’s profile and saved policies by supplying arbitrary auth0_id or user_id values.

Affected code

  • policyengine_api/routes/user_profile_routes.py:12-135
  • policyengine_api/endpoints/policy.py:81-359
  • policyengine_api/api.py:100-101,148-154

Details

The affected routes have no auth or ownership checks and are mounted with app-wide CORS enabled.

Expected behavior

User-scoped routes should require authenticated callers and enforce ownership based on the authenticated principal, not caller-supplied IDs.

Suggested remediation

  • Add auth middleware/decorators to user-scoped routes
  • Derive subject/ownership from the validated token
  • Reject caller-supplied foreign auth0_id/user_id combinations
  • Add authorization tests for cross-user access attempts
Vorherrschende Sprache
Python
Sterne
18
Forks
33
Ø Merge
2 T. 18 Std.
Gemergte PRs (30 T.)
36

Entwicklungsumgebung

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus PolicyEngine/policyengine-api

Alle Issues in PolicyEngine/policyengine-api

Ähnliche Issues

Weitere Issues zu Python

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.