reactioncommerce/reaction

Surchages query missing permission validation

Ouverte

#6 634 ouverte le 7 nov. 2022

Voir sur GitHubGuide contributeur
 (9 commentaires) (0 réaction) (1 personne assignée)JavaScript (2 198 forks)batch import
buggood first issueneeds triage

Métriques du dépôt

Stars
 (12 181 étoiles)
Métriques de merge PR
 (Aucune PR mergée en 30 j)

Description

Prerequisites

  • Are you running the latest version?
  • Are you able to consistently reproduce the issue?
  • Did you search the issue queue for existing issue? Search issues

Issue Description

The surcharges query in api-plugin-surcharges is missing the read permission validation. https://github.com/reactioncommerce/reaction/blob/b11e47f05a3d3042b76385e992960dfafb36a286/packages/api-plugin-surcharges/src/queries/surcharges.js#L15

This means every user can query the surcharges regardless the permission they have.

Possible Solution

An example of a query that has the desired permission validation. https://github.com/reactioncommerce/reaction/blob/b11e47f05a3d3042b76385e992960dfafb36a286/packages/api-plugin-accounts/src/queries/groups.js#L14

Guide contributeur

Direction de recherche
Comparez la requête surcharges avec la requête groups dans api plugin accounts pour comprendre le modèle de validation des autorisations. Implémentez la vérification d'autorisation `read` manquante dans la requête surcharges.
Stack technique
javascriptnodejsgraphql
Domaine
backendsecurity
Type d'issue
Bug
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-3 heures
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
Node.jsGraphQL
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
70