daniele-liprandi/EvoNEST-backbone

API key accepted in URL query parameters

Aberta

#10 aberto em 26 de nov. de 2025

Ver no GitHubGuia do colaborador
 (0 comentário) (0 reação) (0 responsável)JavaScript (2 forks)auto 404
BackendCriticalSecuritygood first issue

Métricas do repositório

Stars
 (1 estrela)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

Description

API keys can be passed via query parameters, which exposes them in server access logs, browser history, referrer headers, and shared URLs.

Files affected

  • src/app/api/utils/apiKeyAuth.js

Current code

const url = new URL(req.url);
const queryApiKey = url.searchParams.get("apiKey");
if (queryApiKey) {
  return queryApiKey;
}

Recommended fix

Remove query parameter support entirely and only accept headers.

Guia do colaborador

Direção de pesquisa
Remova o suporte a parâmetros de consulta em src/app/api/utils/apiKeyAuth.js conforme a correção recomendada. Garanta que as chaves de API sejam aceitas apenas por headers.
Pilha de tecnologia
javascript
Domain
backendsecurity
Tipo Issue
Segurança
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
1
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
Menos de 1 hora
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Recente
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
Git
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
85