Doichain/dapp

Security: RPC-API-CALL sendrawtransaction needs validation

Aberta

#116 aberto em 29 de out. de 2019

Ver no GitHub
 (1 comentário) (0 reação) (0 responsável)JavaScript (13 forks)auto 404
A prioritybountyenhancementgood first issuehelp wantedsecurity

Métricas do repositório

Stars
 (6 estrelas)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

When calling RPC-API sendrawtransaction please validate and limit the data given over the body parameters to prevent dDoS attacks.

This RPC-Call is located in: meteor-api package: https://github.com/Doichain/meteor-api inside file: server/api/rest/imports/send.js around line 639: Api.addRoute(DOICHAIN_BROADCAST_TX, { parameter*: !params.templateDataEncrypted || ... etc. is not yet limited. The size of this parameter (size of data) should be able to be limited in settings

The question here is if restivus (the REST API package of meteor) already has such capabilities or we must do it AFTER we received 1 GB of data. I think this could be already too late here.

Guia do colaborador

Direção de pesquisa
Examine o arquivo send.js em server/api/rest/imports/ para entender como o endpoint sendrawtransaction processa os parâmetros do corpo da solicitação. Consulte a documentação do restivus para limites de tamanho integrados ou implemente validação personalizada antes de processar os dados para evitar grandes cargas.
Pilha de tecnologia
javascriptnodejsrest api
Domain
backendapisecurityblockchain
Tipo Issue
Segurança
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
JavaScriptGitREST API
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
75