Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Trap requests to the OIDC callback endpoint that are missing the cookie that identifies the session

Abierto
  • ¿Algo no está bien?
#349 0 comentarios 1 reacción 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
38/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Estancado
Stack tecnológico
javascript
Área
api, authentication, documentation

Línea de trabajo

Comienza localizando el handler GET /api/authn/oidc/callback y la configuración de OIDC mediante AUTHN_OIDC_REDIRECT_ORIGIN. Rastrea cómo llega la cookie de sesión faltante a la biblioteca OIDC y, a continuación, revisa la documentación de configuración de OIDC. Se considera terminado cuando los callbacks sin cookie reciben una respuesta adecuada que no sea 500 y la documentación enfatiza el uso del mismo dominio que la aplicación Workbench.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

The Issue

Requests sent to the GET /api/authn/oidc/callback endpoint must include the cookie which identifies the server-side session for the user. Currently, requests that are missing this cookie result in a 500 Internal Error response. The server log shows the message:

[ERROR] catch all: Error: did not find expected authorization request details in session, req.session["oidc:localhost"] is undefined

This error occurs because the OIDC library expects to find the server-side session data that had been created during the initial call to start the OIDC log in process (GET /api/authn/oidc/login). The server-side session is identified by a cookie sent with the request and when the cookie is absent in the call the the callback endpoint, the REST API creates a new session, instead of accessing the one from the initial request.

The missing cookie can occur if the server can be accessed using two different domain names, and the client accesses the Workbench app using the first domain name, but the OIDC configuration includes the second domain name in the OIDC configuration (configured using the AUTHN_OIDC_REDIRECT_ORIGIN environment variable). This would result in the browser storing the cookie using the first domain name and sending it with any requests to a host with that domain name. But not sending it in requests to hosts with the second domain name.

The Fix
  1. The REST API should identify requests to the OIDC callback endpoint that do not include the session identifier and send a suitable response, instead of a 500 Internal Error response
  2. The documentation for configuring OIDC should be updated to emphasize the importance of using the same domain name as when accessing the Workbench app
Lenguaje dominante
JavaScript
Estrellas
56
Forks
18
Merge medio
21 h 14 min
PR fusionados (30 d)
10

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de mitre-attack/attack-workbench-rest-api

Todos los issues de mitre-attack/attack-workbench-rest-api

Issues similares

Más issues de JavaScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.