Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Reject bingo toggle requests for tiles outside the user's current card

Abierto
#12 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
3/5
Tiempo estimado
1-2 días
Aptitud para principiantes
72/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Activo
Stack tecnológico
typescript
Área
authorization, backend

Línea de trabajo

Empieza en src/routes/bingo/+page.server.ts siguiendo toggle y examinando cómo se construye la tarjeta actual del llamador con seed; después, inspecciona src/lib/server/standings.ts y loadStandings. Verifica que los IDs de fichas que no pertenecen a la tarjeta no puedan crear ni eliminar progreso, que la casilla libre siga siendo un no-op y que la clasificación cuente únicamente el progreso de la tarjeta actual o aplique el comportamiento elegido para el cambio de pool.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Problem

toggle verifies that a supplied tile ID exists and is active, but never verifies that the tile is one of the caller current seeded card tiles. Any authenticated user can POST an arbitrary active tileId from the global pool to ?/toggle; a bingo_progress row is inserted and a completion activity is logged.

This is visible in standings because loadStandings uses completedIds.size, which counts every progress row, not just IDs on the displayed card. It also lets players pre-mark tiles that may appear after later pool changes.

Reproduction

  1. Configure more tiles than a single card uses.
  2. Sign in and obtain the ID of an active tile that is not on the rendered card.
  3. Submit POST /bingo?/toggle with that ID.
  4. The request succeeds despite no corresponding tile being available to the player; the activity log and leaderboard progress increase.

Suggested fix

Build the caller current seeded card before insertion or removal and return 400 or 403 unless the requested ID is in it (free space remains a no-op). Count only current-card progress in standings, or deliberately clear or migrate off-card progress when the pool changes.

Affected code

  • src/routes/bingo/+page.server.ts
  • src/lib/server/standings.ts
Lenguaje dominante
TypeScript
Estrellas
0
Forks
0
Sin PR fusionados en 30 d

Guía de contribución

No hay ninguna guía de contribución indexada para este repositorio

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de hacksu/bingo

Todos los issues de hacksu/bingo

Issues similares

Más issues de TypeScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.