valyala/fasthttp

It is not safe to read all stream body to memory without a max size limit.

Open

#1 765 ouverte le 23 avr. 2024

Voir sur GitHub
 (8 commentaires) (0 réactions) (0 assignés)Go (1 755 forks)batch import
help wanted

Métriques du dépôt

Stars
 (21 741 stars)
Métriques de merge PR
 (Merge moyen 1j 11h) (34 PRs mergées en 30 j)

Description

https://github.com/valyala/fasthttp/blob/57b9352ad1cc93a0aaaa72b2130e03ace8a5b118/http.go#L427 I think it would be safe to stop reading the request body into memory and return an error when it exceeds the maximum request body size. Otherwise, it may lead to an out-of-memory (OOM) error when the request body is too large.

Guide contributeur

Direction de recherche
Le problème pointe vers la ligne 427 dans http.go où l'intégralité du corps de la requête est lue en mémoire sans limite de taille. Pour corriger, ajoutez une vérification d'une taille maximale du corps de la requête avant la lecture, de préférence en utilisant une limite configurable (par ex. MaxRequestBodySize). Lorsqu'elle est dépassée, la lecture doit s'arrêter et renvoyer une erreur, probablement avec un code d'état 413. Assurez l'intégration avec le pipeline de traitement des requêtes existant de fasthttp et prenez en compte tout paramètre de taille existant.
Stack technique
go
Domaine
backendsecurity
Type d'issue
Bug
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-3 heures
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Récente
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
Go basicsHTTP server internals
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
45