OnSuccess/OnFailure properties as part of the rule - Security Issue

Aberta
#323 0 comentários 0 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
5/5
Tempo estimado
Mais de uma semana
Facilidade para iniciantes
15/100
Tipo de issue
Documentação
Clareza
Precisa de esclarecimento
Status de atividade
Estagnada
Stack de tecnologia
javascript
Domínio
security

Direção de pesquisa

Comece rastreando como as propriedades de função onSuccess e onFailure entram em uma regra, passam do servidor para o cliente e são executadas. Revise os pontos de entrada do armazenamento de regras e da execução no cliente para determinar o limite de segurança; considera-se concluído quando estiver documentado se esse comportamento é seguro e quais orientações de tratamento se aplicam.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

There are 2 properties like Onsuccess and Onfailure property which can be a javascript function delegate and it is part of the rule right?

onSuccess: function(event,almanac) { console.log('hello success') },
onFailure : function(event,almanac) { alert('hello failed') }

Is it safe to store this as part of the rule in the database. Because the rule comes from the server to the client this script can be tampered by the hacker and we would end up executing a malicious script. Is that right?

Or Is my understanding wrong? Please confirm

Linguagem predominante
JavaScript
Estrelas
3.1k
Forks
507
Nenhum PR com merge em 30d

Guia de contribuição

Nenhum guia de contribuição indexado para este repositório

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de CacheControl/json-rules-engine

Todas as issues de CacheControl/json-rules-engine

Issues semelhantes

Mais issues de JavaScript

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.