valyala/fasthttp

It is not safe to read all stream body to memory without a max size limit.

Open

#1.765 aberto em 23 de abr. de 2024

Ver no GitHub
 (8 comments) (0 reactions) (0 assignees)Go (1.755 forks)batch import
help wanted

Métricas do repositório

Stars
 (21.741 stars)
Métricas de merge de PR
 (Mesclagem média 1d 11h) (34 fundiu PRs em 30d)

Description

https://github.com/valyala/fasthttp/blob/57b9352ad1cc93a0aaaa72b2130e03ace8a5b118/http.go#L427 I think it would be safe to stop reading the request body into memory and return an error when it exceeds the maximum request body size. Otherwise, it may lead to an out-of-memory (OOM) error when the request body is too large.

Guia do colaborador

Direção de pesquisa
O problema aponta para a linha 427 em http.go, onde todo o corpo da requisição é lido na memória sem um limite de tamanho. Para corrigir, adicione uma verificação para um tamanho máximo do corpo da requisição antes da leitura, preferencialmente usando um limite configurável (ex.: MaxRequestBodySize). Quando excedido, a leitura deve parar e retornar um erro, provavelmente com um código de status 413. Garanta a integração com o pipeline de manipulação de requisições existente do fasthttp e considere quaisquer configurações de tamanho existentes.
Pilha de tecnologia
go
Domain
backendsecurity
Tipo Issue
Bug
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Recente
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
Go basicsHTTP server internals
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
45