Rate limit unauthenticated /password/generate-reset-link
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 52/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- typescript
- Ambito
- authentication, backend, security
Direzione di ricerca
Start in UsersController at POST /users/password/generate-reset-link, then read the /auth/login code that uses retriesRemaining and lockedUntil as the stated pattern. The issue proposes both per-IP throttling and a per-user cooldown, but does not name files or tests; locate the relevant tests and run them. Done means repeated requests are limited by both IP and user without changing normal reset-link behavior.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
POST /users/password/generate-reset-link in UsersController is @NoSecurity() and fires a mail send on every request that matches a real user. No per-IP throttle. No per-user cooldown.
Two things this leaves open:
- Someone who knows a real user's email can mail-bomb the inbox with valid reset links (15-minute TTL each, each writes a
PasswordResetTokenrow). - Someone spamming the endpoint with random emails triggers a mail per matched real user at no cost.
/auth/login already has a per-user retry lock via retriesRemaining and lockedUntil. Same pattern isn't applied here.
Suggested fix
Add both:
- Per-IP throttle via
express-rate-limitor similar — blocks a script hammering the endpoint with random emails regardless of validity. - Per-user cooldown matching the
/auth/loginretry-lock pattern — blocks a distributed attack rotating IPs against one real user's email.
- Lingua principale
- TypeScript
- Stelle
- 4
- Fork
- 0
- Merge medio
- 14h 50m
- PR unite (30g)
- 5
Preparare l'ambiente
- Include un Dockerfile o un file Docker Compose
- Ha un modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di Garvan-Data-Science-Platform/ctrl
-
Difficoltà 1/5 1-3 ore Idoneità per principianti 82/100
-
admin-client backend bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
-
backend bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
Garvan-Data-Science-Platform/ctrl#970 · 1 commento ·
-
backend bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
-
backend bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
Tutte le issue di Garvan-Data-Science-Platform/ctrl
Issue simili
-
Create/import wallet form shows raw "password must be at least 1 characters" instead of the translated messageForse già presa @CapThunder19 l’ha presa oggi. Apertabug
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
joinmarket-webui/jam#1538 ·
I maintainer di solito rispondono entro 1 giorno
-
t0ggles
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
nolimits4web/swiper#8240 · 1 commento ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
modelcontextprotocol/inspector#2723 ·
I maintainer di solito rispondono entro 1 giorno
-
status:approved type:bug
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 70/100
egdev6/quorb#109 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno