Swagger UI exposed publicly with no authentication - full API documentation visible to anyone
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 2/5
- Tempo stimato
- 1-3 ore
- Idoneità per principianti
- 68/100
- Tipo di issue
- Bug
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Tranquilla
- Stack tecnologico
- openapi, typescript
Direzione di ricerca
Inizia in src/main.ts alla riga 25 e verifica come SwaggerModule.setup monta /api/docs, insieme al comportamento attuale di AuthGuard. Scegli e implementa l’approccio proposto di restrizione in produzione o autenticazione degli amministratori, quindi verifica che la documentazione non sia esposta pubblicamente in produzione, pur rimanendo disponibile dove previsto.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Bug Description
Swagger/OpenAPI documentation is mounted at /api/docs (src/main.ts, line 25) with zero authentication guard.
Code
SwaggerModule.setup('api/docs', app, document);
Impact
- Anyone can browse full API schema including all internal service topology
- Reveals Acadmap, CoSA, Smart Insti internal endpoint paths
- Especially dangerous since AuthGuard can return true unconditionally
Fix
Only serve Swagger in development:
if (process.env.NODE_ENV !== 'production') {
SwaggerModule.setup('api/docs', app, document);
}
Or add an admin auth guard to the docs endpoint.
- Lingua principale
- TypeScript
- Stelle
- 0
- Fork
- 0
- Metriche di merge delle PR
- Nessuna PR unita negli ultimi 30g
Preparare l'ambiente
- Include un Dockerfile o un file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di OpenLake/Hub
-
bug help wanted security
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
-
enhancement help wanted
Difficoltà 4/5 3-5 giorni Idoneità per principianti 55/100
-
bug help wanted security
Difficoltà 3/5 1-2 giorni Idoneità per principianti 70/100
-
enhancement help wanted
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
-
Proxy module has no request validation — passes through malicious payloads to downstream servicesApertabug help wanted security
Difficoltà 5/5 Più di una settimana Idoneità per principianti 42/100
Tutte le issue di OpenLake/Hub
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
grafana/profiles-drilldown#1212 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
grafana/traces-drilldown#980 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
openremote/openremote#3487 · 1 commento ·
-
triage:needs-human
Difficoltà 2/5 1-3 ore Idoneità per principianti 67/100
garrytan/gbrain#7635 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
coollabsio/jean#867 ·
I maintainer di solito rispondono entro 1 giorno