Hacktoberfest 2026: as issues que os mantenedores marcaram para outubro, abertas e boas para iniciantes. Ver issues do Hacktoberfest

Access allowed despite authentication failure

Aberta
#1,572 1 comentário 0 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
4/5
Tempo estimado
3-5 dias
Facilidade para iniciantes
25/100
Tipo de issue
Bug
Clareza
Precisa de esclarecimento
Status de atividade
Estagnada
Stack de tecnologia
javascript, nodejs
Domínio
authentication, backend, security

Direção de pesquisa

Nenhum arquivo, teste ou ponto de entrada é especificado. Reproduza os casos relatados na versão 5.6.4 com uma sessão ativa: uso de um token DPoP como Bearer, valores htm e htu inválidos e um token Bearer inválido. Está concluído quando cada falha de autenticação nega o acesso ao recurso em vez de permitir a solicitação.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

Testing version: 5.6.4
Having got an access token using DPoP, if I make a request to a resource but use the token in Bearer mode instead of signing the request with DPoP again, the request succeeds whilst also reporting access denied.

www-authenticate: [Bearer realm="https://inrupt.net", error="access_denied", error_description="Token does not pass the audience allow filter"]

Similarly, if I create a bad DPoP token using the wrong htm I still get the resource despite:

www-authenticate: [Bearer realm="https://inrupt.net", error="invalid_token", error_description="Invalid PoP token"]

Lastly, creating an invalid DPoP token with a different htu gives me:

www-authenticate: [Bearer realm="https://inrupt.net", error="invalid_token", error_description="htu https://solid-test-suite-alice.inrupt.net/private/asdasd does not match https://solid-test-suite-alice.inrupt.net/private/"]

whilst also succeeding with the request.

I was just about to post this when I thought of other tests I could do. I sent an invalid Bearer token and it still worked:

www-authenticate: [Bearer realm="https://inrupt.net", error="invalid_token", error_description="Access token is not a JWT"]

It seems that having an active session overrides all other security considerations as all the above fail when there is no session.

Linguagem predominante
JavaScript
Estrelas
1.8k
Forks
308
Nenhum PR com merge em 30d

Guia de contribuição

Abrir o guia de contribuição

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de nodeSolidServer/node-solid-server

Todas as issues de nodeSolidServer/node-solid-server

Issues semelhantes

Mais issues de JavaScript

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.