SSO provider endpoints are not checked against the outbound-connection rule
Les mainteneurs répondent en général sous 1 jour
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 3/5
- Temps estimé
- 1-2 jours
- Accessibilité débutants
- 68/100
- Type d'issue
- Fonctionnalité
- Clarté
- Clairement spécifiée
- Activité
- Active
- Stack technique
- python
- Domaine
- authentication, backend, security
Piste de recherche
Start at the Okta OIDC sign-in callback and the SSO configuration save flow, then find the outbound-connection check already used by warehouse connectors. Reuse that rule for sso_url when configuration is saved and when sign-in builds endpoint URLs. Add tests covering acceptance of a public HTTPS host and rejection of loopback or private hosts, with redirects still disabled.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
The OIDC sign-in callback for the okta SSO provider builds its endpoint URLs from the provider's configured sso_url. The URL must be https:// and redirects are not followed, but the host is not checked against the outbound-connection rule the warehouse connectors apply (public addresses only, no loopback, link-local or private ranges).
The sso_url is set only by an ADMIN, so this is hardening rather than a defect anyone else can reach.
Expected: the SSO provider endpoints go through the same outbound-connection check as the warehouse connectors, both when the SSO configuration is saved and when a sign-in uses it, with a test that a loopback or private host is refused.
- Langage dominant
- Python
- Étoiles
- 0
- Forks
- 4
- Merge moyen
- 6 h 43 min
- PR mergées (30 j)
- 414
Préparer son environnement
- Fournit un Dockerfile ou un fichier Docker Compose
- Propose un modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de Controlvar/controlvar
-
bug
Difficulté 2/5 1-3 heures Accessibilité débutants 82/100
Controlvar/controlvar#1813 ·
Les mainteneurs répondent en général sous 1 jour
-
bug
Difficulté 1/5 1-3 heures Accessibilité débutants 88/100
Controlvar/controlvar#1806 ·
Les mainteneurs répondent en général sous 1 jour
-
Dashboard: an archived flag shows Off with an on/off switch the API refusesPeut-être pris @amarkanday l’a pris il y a 2 jours. Ouvertebug
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
Controlvar/controlvar#1748 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
-
Dashboard: the sequential panel's "Ready to stop" banner shows no sample-ratio-mismatch cautionPeut-être pris @amarkanday l’a pris il y a 2 jours. Ouvertebug
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
Controlvar/controlvar#1737 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
-
dashboard: a split URL draft's variant edit shows generic copy when the API refuses itPeut-être pris @amarkanday l’a pris il y a 2 jours. Ouvertebug
Difficulté 2/5 1-3 heures Accessibilité débutants 70/100
Controlvar/controlvar#1562 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de Controlvar/controlvar
Issues similaires
-
Difficulté 2/5 1-3 heures Accessibilité débutants 84/100
pylint-dev/pylint#11791 ·
Les mainteneurs répondent en général sous 1 jour
-
Rasterio granule reads never retry, so one 503 (Service Unavailable) fails the whole requestPeut-être pris @chuckwondo l’a pris aujourd’hui. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100
developmentseed/titiler-cmr#305 ·
Les mainteneurs répondent en général sous 1 jour
-
community enhancement
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
Les mainteneurs répondent en général sous 1 jour
-
bug
Difficulté 2/5 1-3 heures Accessibilité débutants 86/100
Les mainteneurs répondent en général sous 1 jour