`validate_exp` should also reject tokens that contain a `exp` field but that can not be parsed
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 3/5
- Tempo stimato
- 1-2 giorni
- Idoneità per principianti
- 48/100
- Tipo di issue
- Bug
- Chiarezza
- Specificata chiaramente
- Stato di attività
- Ferma
- Stack tecnologico
- rust
- Ambito
- authentication, security
Direzione di ricerca
Inizia dall’implementazione di validate_exp e segui come viene analizzato un claim exp quando non è elencato come obbligatorio. Aggiungi la copertura per un valore exp non analizzabile, ad esempio una stringa ISO8601, e verifica che la validazione rifiuti il token anche quando exp non è un claim obbligatorio.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
If you have an exp field but have set required claims to not include this field, then validate_exp currently will try to parse the claim. If the claim for example is not parsable, say you used a string based timestamp instead of a numeric timestamp, it should reject the validation instead of silently allowing the token through. This for example, would allow a token with a ISO8601 timestamp that is expired to pass because it was unable to parse. This was quite some surprising behavior, even though technically the JWT is not spec compliant I would expect the validation to catch that. This seems like a potential attack vector that is not covered by the validation logic.
- Lingua principale
- Rust
- Stelle
- 2.1k
- Fork
- 370
- Merge medio
- 13g 20h
- PR unite (30g)
- 2
Preparare l'ambiente
Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di Keats/jsonwebtoken
-
`Jwk::from_encoding_key` rejects PKCS#8 v2 (RFC 5958) Ed25519 private keysForse già presa @ucsurf l’ha presa 10 giorni fa. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
Keats/jsonwebtoken#544 · 1 commento ·
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 85/100
Keats/jsonwebtoken#542 · 1 commento ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
Keats/jsonwebtoken#519 · 2 commenti ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
Keats/jsonwebtoken#497 ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
Keats/jsonwebtoken#297 · 19 commenti · 2 reazioni ·
Tutte le issue di Keats/jsonwebtoken
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
cmlarsen/writemorebetter#158 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 72/100
-
state:triage-needed
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
scanaislop/aislop#482 ·
I maintainer di solito rispondono entro 1 giorno
-
docs(skills): issue-first should reference an existing Linear ticket instead of filing a duplicateApertadocumentation
Difficoltà 1/5 1-3 ore Idoneità per principianti 74/100
I maintainer di solito rispondono entro 1 giorno