Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Security: Multiple vulnerabilities found via Snyk Code Analysis (XSS, Path Traversal, ReDoS, Open Redirect)

Abierto
#7,737 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
5/5
Tiempo estimado
Más de una semana
Aptitud para principiantes
25/100
Tipo de issue
Error
Claridad
Necesita aclaración
Estado de actividad
Tranquilo
Stack tecnológico
node.js, typescript
Área
backend, security

Línea de trabajo

Comienza volviendo a ejecutar Snyk Code Analysis contra el main branch cerca de v4.112.0 y, después, revisa las ubicaciones indicadas en src/node/routes/errors.ts, login.ts, vscode.ts, domainProxy.ts, index.ts y src/node/app.ts. Separa los hallazgos de producción de los hallazgos de baja gravedad en archivos de prueba, confirma cada vulnerabilidad y considera las mitigaciones sugeridas. Se considera terminado cuando los hallazgos de producción confirmados están solucionados y el análisis deja de informarlos.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

bug security

Summary

Snyk Code Analysis identified 65 issues across 92 analyzed files in code-server. The High severity findings affect production deployments.

High Severity (7 issues)

Cross-site Scripting (XSS) — CWE-79, Score 807
  • src/node/routes/errors.ts line 56
  • src/node/routes/login.ts lines 68, 119

User-controlled input may be rendered without proper HTML escaping in error and login responses.

Path Traversal — CWE-23, Score 804
  • src/node/routes/vscode.ts lines 149, 219

User-supplied path components may allow reading files outside the intended directory.

Regular Expression Denial of Service (ReDoS) — CWE-400, Score 752
  • src/node/routes/domainProxy.ts line 46

A regex pattern may cause catastrophic backtracking with crafted input.

Medium Severity (14 issues)

Open Redirect — CWE-601, Score 557
  • src/node/routes/login.ts lines 62, 99
  • src/node/routes/index.ts line 94
Allocation of Resources Without Limits — CWE-770, Score 555
  • src/node/routes/errors.ts line 37
  • src/node/routes/vscode.ts line 213
Information Exposure via X-Powered-By — CWE-200, Score 554
  • src/node/app.ts line 70
Sensitive Cookie Without Secure/HttpOnly Flags — CWE-614/CWE-1004, Score 402
  • src/node/routes/login.ts line 96

Low Severity (44 issues)

Primarily in test files (hardcoded passwords, cleartext HTTP). Not production concerns.

Reproduction

Scanned with Snyk Code Analysis on code-server main branch (commit near v4.112.0).

Suggested Fixes

  • XSS: HTML-encode user input before rendering in error/login templates
  • Path Traversal: Resolve and validate paths against intended root directory
  • ReDoS: Simplify or replace the vulnerable regex pattern
  • Open Redirect: Validate redirect URLs against an allowlist
  • X-Powered-By: Disable with app.disable('x-powered-by')
  • Cookie flags: Add Secure and HttpOnly to session cookies

Happy to submit PRs for any of these if the team confirms the approach.

Lenguaje dominante
TypeScript
Estrellas
79.4k
Forks
6.9k
Merge medio
2 d 13 h
PR fusionados (30 d)
39

Guía de contribución

Abrir la guía de contribución

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de coder/code-server

Todos los issues de coder/code-server

Issues similares

Más issues de TypeScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.