Add blacklist headers to protect against DoS attack
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 3/5
- Temps estimé
- 1-2 jours
- Accessibilité débutants
- 35/100
- Type d'issue
- Bug
- Clarté
- Plutôt claire
- Activité
- À l'abandon
- Stack technique
- javascript, node.js
Piste de recherche
Commencez dans lib/http-proxy/common.js vers la ligne 43, où les en-têtes entrants sont ajoutés à la requête sortante, et examinez la gestion liée des en-têtes sortants de Node.js. Reproduisez la requête GET signalée contenant un en-tête Trailer et vérifiez que le proxy ne permet plus à l’erreur non gérée qui en résulte de terminer Node.js. C’est terminé lorsque la voie DoS signalée est empêchée et que le comportement est couvert par un test de régression approprié.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Hello, I have tried everything to contact the maintainers, nobody answer to me, there is my last try.
-
There is populate headers into outgoing request from incoming:
https://github.com/http-party/node-http-proxy/blob/master/lib/http-proxy/common.js#L43 -
if then add
Trailerheader with any value into the incoming request, that header will be handled by the internal nodejs http lib. For a GET-request, processing that header will trigger unhandled errorERR_HTTP_TRAILER_INVALID. https://github.com/nodejs/node/blob/38cc53845307fdb81dd50cfb7bcfc8c7b83b947c/lib/_http_outgoing.js#L538 -
An unhandled error will cause nodejs shutdown.
If any other project uses node-http-proxy package and just proxy any "user" request, all of them are vulneranilty to DoS attack
- Langage dominant
- JavaScript
- Étoiles
- 14.1k
- Forks
- 2k
- Métriques de merge des PR
- Aucune PR mergée en 30 j
Préparer son environnement
Ce projet ne fournit ni conteneur de développement, ni Dockerfile, ni guide de contribution : l'installation est à votre charge. Commencez par son README, et consultez notre guide de la première contribution pour les étapes générales.
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de http-party/node-http-proxy
-
util._extend() is depracatoryOuverte
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
http-party/node-http-proxy#1719 ·
-
Difficulté 3/5 1-2 jours Accessibilité débutants 72/100
http-party/node-http-proxy#1721 · 1 commentaire ·
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 55/100
http-party/node-http-proxy#1715 · 1 commentaire · 5 réactions ·
-
Is this library is dead?Ouverte
Difficulté 1/5 Moins d'une heure Accessibilité débutants 15/100
http-party/node-http-proxy#1711 · 2 commentaires ·
-
HTTP3 + QUIC support?Ouverte
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 25/100
http-party/node-http-proxy#1710 · 5 réactions ·
Toutes les issues de http-party/node-http-proxy
Issues similaires
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 75/100
postcss/postcss.org#302 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
ImranR98/apps.obtainium.imranr.dev#2000 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
-
routing: the tray panel's stage stands still with motion reduced while a request is in flightOuverte
Difficulté 2/5 1-3 heures Accessibilité débutants 66/100
-
Difficulté 2/5 1-3 heures Accessibilité débutants 83/100
microsoft/monaco-editor#5577 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 76/100
Ebony-Vinyl/dsh-our-free-model#785 ·
Les mainteneurs répondent en général sous 1 jour