Errors contain credentials in plaintext

Description

{"level":50,"time":1674832773627,"pid":1,"hostname":"service-79d5f6fb77-gf4ks","type":"ReplyError","message":"WRONGPASS invalid username-password pair or user is disabled.","stack":"ReplyError: WRONGPASS invalid username-password pair or user is disabled.\n    at parseError (/app/node_modules/redis-parser/lib/parser.js:179:12)\n    at parseType (/app/node_modules/redis-parser/lib/parser.js:302:14)","command":{"name":"auth","args":["APPLICATION_USERNAME","APPLICATION_PASSWORD"]}}

Guide contributeur

Stack technique

typescriptnodejs

Domaine

backendsecurity

Type d'issue

bug

DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.

3

Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.

1-3 hours

Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.

fresh

ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.

clear

Prérequis

Node.js basicsRedis authenticationUnderstanding of logging

Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.

60

Direction de recherche

The issue is that the Redis error message includes the credentials in plaintext when authentication fails. The fix involves modifying the error handling in the ioredis library to redact or omit the username and password from the logged command arguments. Look at the 'auth' command implementation in the source code (likely in the 'command' or 'redis' modules). Ensure that any logging of command arguments masks sensitive fields. Consider adding a redaction mechanism similar to what other libraries use. The maintainers may provide guidance in the issue comments.