Security: JWT tokens have no expiry and admin page bypasses authentication
メンテナーはふだん 1 日以内に返信
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 45/100
- issue の種類
- バグ
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- python
調査の方向性
worker.py の create_token、verify_token、_dispatch から始め、次に wrangler.toml を調べて /admin がどのようにルーティングされるかを確認します。コーディングする前に、2 つのセキュリティ問題がどちらも対象範囲に含まれることをメンテナーに確認してください。トークンの有効期間が適用され、/admin が認証を回避しなくなり、関連する動作がテストでカバーされていれば完了です。
索引モデルが issue の本文から書いたものです。
説明
While exploring the codebase I found two security issues worth discussing:
1. JWT tokens never expire
create_token in worker.py encodes no exp or iat claim.
verify_token never checks expiry. A stolen token is valid forever.
2. Admin page bypasses Basic Auth
wrangler.toml sets run_worker_first = ["/api/*"] only.
Requests to /admin are served directly by Cloudflare Assets,
bypassing the Basic Auth check in _dispatch entirely.
Happy to work on fixes for both if the team confirms these are
in scope. Tagging for discussion before writing any code.
- 主要言語
- HTML
- スター
- 3
- フォーク
- 29
- 平均マージ
- 2日 1時間
- マージ済み PR（30日）
- 9
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
alphaonelabs/learn のほかの issue
-
Password change returns 500 because `username` is used before it is set対応中かも @10done が 2 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
alphaonelabs/learn#138 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
Active Navigation State Is Not Highlighted in the Navbar対応中かも @Taha254511 が 9 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
alphaonelabs/learn#91 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
add edit an activity button対応中かも @gopikrishna-20 が 4 日前に担当しました。 オープン
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
alphaonelabs/learn#134 ·
メンテナーはふだん 1 日以内に返信
-
Add a "Resend verification email" option on the login page対応中かも @gopikrishna-20 が 7 日前に担当しました。 オープン
難易度 3/5 1〜2日 初心者へのやさしさ 68/100
alphaonelabs/learn#131 ·
メンテナーはふだん 1 日以内に返信
-
[Security] Use random salts for new password hashes, with backward-compatible migration再び着手できるかも @Taha254511 が 7 日前に担当しましたが、オープン中のプルリクエストはありません。 オープン
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
alphaonelabs/learn#130 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
alphaonelabs/learn の issue をすべて見る
似ている issue
-
intermediate security tests
難易度 1/5 1時間未満 初心者へのやさしさ 86/100
BistaDinesh03/critique#151 ·
メンテナーはふだん 1 日以内に返信
-
bug confirmed issue
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
open-webui/open-webui#33200 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 73/100
メンテナーはふだん 1 日以内に返信
-
C-bug I-prioritize I-unsound needs-triage O-UEFI T-libs
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
メンテナーはふだん 1 日以内に返信
-
t:urlDecodeUni does not map U+3002 and U+FF61 to a dot, unlike ModSecurity対応中かも @fzipi が今日担当しました。 オープンbug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信