BUG: Share page returns HTTP 500 when the unlock cookie contains a non-ASCII character
メンテナーはふだん 6 日以内に返信
@swastiksharma45 がすでに取り組んでいます。
2026年11月6日 から。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 72/100
調査の方向性
backend/app/share/registry.pyから始めてshare_registry_is_unlockedを調べ、次に共有のロック解除Cookieを対象とするテストを探します。éを含むCookieで再現し、共有、写真、サムネイルの各ルートでの動作を確認します。完了条件は、非ASCII文字を含む誤ったCookieの場合、/s/<token>でパスワードページが表示され、写真とサムネイルのページで404が返されることを回帰テストで確認できることです。
索引モデルが issue の本文から書いたものです。
説明
Is there an existing issue for this?
- I have searched the existing issues
What happened?
If someone opens a password-protected album share with a cookie that has a non-English character (like "é"), the server returns an error (HTTP 500). It should just show the password page.
Why it happens: in backend/app/share/registry.py, the function share_registry_is_unlocked checks the cookie using hmac.compare_digest. This function throws a TypeError when the text has a non-ASCII character. The visitor sends the cookie, so anyone with the share link can cause this.
How to reproduce: open the link of a password-protected share with a cookie that has a non-English character, like pictopy_share_unlock=café. The server returns 500 instead of the password page.
What should happen: a wrong cookie should be treated like any other wrong cookie. Show the password page on /s/<token>, and return 404 on the photo and thumbnail pages.
Fix idea: compare bytes instead of text, and add a test for it.
I would like to work on this!
Record
- I agree to follow this project's Code of Conduct
- 主要言語
- Python
- スター
- 313
- フォーク
- 755
- 平均マージ
- 6日 36分
- マージ済み PR（30日）
- 8
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
AOSSIE-Org/PictoPy のほかの issue
-
enhancement possible-duplicate
難易度 1/5 1〜3時間 初心者へのやさしさ 78/100
AOSSIE-Org/PictoPy#1715 · コメント 2 件 ·
メンテナーはふだん 6 日以内に返信
-
BUG: /folders/all-folders takes over a second when folders contain both images and videos対応中かも @Saurabhyadav0 が 1 日前に担当しました。 オープンbug enhancement possible-duplicate
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
AOSSIE-Org/PictoPy#1708 · コメント 3 件 ·
メンテナーはふだん 6 日以内に返信
-
Add unit tests for personUtils.ts対応中かも @mystic-fae が今日担当しました。 オープンenhancement
難易度 1/5 1〜3時間 初心者へのやさしさ 62/100
AOSSIE-Org/PictoPy#1707 · コメント 3 件 ·
メンテナーはふだん 6 日以内に返信
-
bug possible-duplicate
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
AOSSIE-Org/PictoPy#1702 · コメント 2 件 ·
メンテナーはふだん 6 日以内に返信
-
bug possible-duplicate
難易度 1/5 1時間未満 初心者へのやさしさ 86/100
AOSSIE-Org/PictoPy#1700 · コメント 3 件 ·
メンテナーはふだん 6 日以内に返信
AOSSIE-Org/PictoPy の issue をすべて見る
似ている issue
-
add entry to blockオープン
難易度 1/5 1時間未満 初心者へのやさしさ 65/100
StevenBlack/hosts#3299 ·
-
`garak --report` overwrites the input report when its name has no ".report"対応中かも @0z5a が今日担当しました。 オープンneeds-triage
難易度 2/5 半日 初心者へのやさしさ 72/100
メンテナーはふだん 2 日以内に返信
-
plot_graph crashes when a mesh node has no m2m edge対応中かも @tygvi が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
mllam/neural-lam#883 · コメント 1 件 ·
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
future-agi/future-agi#4092 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
transcript analytics: a text whose only protected spans the prose pass redacts is withheld wholeオープン
難易度 1/5 1時間未満 初心者へのやさしさ 82/100
WingedGuardian/GENesis-AGI#4641 ·
メンテナーはふだん 1 日以内に返信