Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Unverified sandbox items from the Oct 11 audit: proxy checks only the TLS name, and stacked drive-letter definitions

Aperta
  • Qualcosa non va?
#293 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
1-2 giorni
Idoneità per principianti
38/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
typescript
Ambito
desktop, security

Direzione di ricerca

Read src/main/tools/net_proxy.ts:222-230 and native/sandbox-helper/src/win.rs, then verify both reported behaviors: the proxy's handling of CONNECT and TLS ClientHello extensions, and how QueryDosDeviceW definitions are checked. The issue proposes documenting the proxy limit or refusing ECH, and comparing only the first drive mapping entry; completion means both findings are verified and the chosen fixes prevent the described behavior.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

priority: low security severity: low

Found in the Oct 11 audit (at c5f5641). Both need verification.

  1. The allow-list proxy checks only the TLS server name (src/main/tools/net_proxy.ts:222-230). A CONNECT to an allowed host on a shared CDN can send Host: other-site inside TLS (domain fronting), and Encrypted Client Hello hides the real name behind the CDN's public name. Fix: document the limit, or refuse a ClientHello that carries an ECH extension (0xfe0d).
  2. DriveMapping::is_live accepts any entry of a drive letter's definition stack (native/sandbox-helper/src/win.rs, added in 68dd655). QueryDosDeviceW returns every stacked definition, and .any(...) accepts the expected target even when another definition sits on top, so ProjectDrive::define skips DefineDosDeviceW and the run starts in the wrong folder. Correctness only: access is still governed by ACLs. Fix: compare only the first entry.
Lingua principale
TypeScript
Stelle
2
Fork
2
Merge medio
5h 28m
PR unite (30g)
24

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di PierrunoYT/patch

Tutte le issue di PierrunoYT/patch

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.