Doichain/dapp

Security: RPC-API-CALL sendrawtransaction needs validation

Aperta

#116 aperta il 29 ott 2019

Vedi su GitHub
 (1 commento) (0 reazioni) (0 assegnatari)JavaScript (13 fork)auto 404
A prioritybountyenhancementgood first issuehelp wantedsecurity

Metriche repository

Star
 (6 stelle)
Metriche merge PR
 (Metriche PR in attesa)

Descrizione

When calling RPC-API sendrawtransaction please validate and limit the data given over the body parameters to prevent dDoS attacks.

This RPC-Call is located in: meteor-api package: https://github.com/Doichain/meteor-api inside file: server/api/rest/imports/send.js around line 639: Api.addRoute(DOICHAIN_BROADCAST_TX, { parameter*: !params.templateDataEncrypted || ... etc. is not yet limited. The size of this parameter (size of data) should be able to be limited in settings

The question here is if restivus (the REST API package of meteor) already has such capabilities or we must do it AFTER we received 1 GB of data. I think this could be already too late here.

Guida contributor

Direzione di ricerca
Esamina il file send.js in server/api/rest/imports/ per capire come l'endpoint sendrawtransaction elabora i parametri del corpo della richiesta. Consulta la documentazione di restivus per i limiti di dimensione integrati o implementa una validazione personalizzata prima di elaborare i dati per prevenire payload di grandi dimensioni.
Tech stack
javascriptnodejsrest api
Dominio
backendapisecurityblockchain
Tipo issue
Sicurezza
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-3 ore
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
JavaScriptGitREST API
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
75