Security: JWT tokens have no expiry and admin page bypasses authentication

Đang mở
  • Có gì không ổn?
#34 3 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

@Lakshya-2440 đang làm issue này rồi.

Từ ngày 13/10/2026.

  • #96 của @Lakshya-2440 — đang mở

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
45/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
python
Lĩnh vực
authentication, backend, security

Hướng nghiên cứu

Bắt đầu trong worker.py với create_token, verify_token và _dispatch, sau đó kiểm tra wrangler.toml để hiểu /admin được định tuyến như thế nào. Xác nhận với những người bảo trì rằng cả hai vấn đề bảo mật đều nằm trong phạm vi trước khi viết mã. Được xem là hoàn tất khi thời hạn của token được thực thi, /admin không còn bỏ qua xác thực và hành vi liên quan được kiểm thử.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

While exploring the codebase I found two security issues worth discussing:

1. JWT tokens never expire
create_token in worker.py encodes no exp or iat claim.
verify_token never checks expiry. A stolen token is valid forever.

2. Admin page bypasses Basic Auth
wrangler.toml sets run_worker_first = ["/api/*"] only.
Requests to /admin are served directly by Cloudflare Assets,
bypassing the Basic Auth check in _dispatch entirely.

Happy to work on fixes for both if the team confirms these are
in scope. Tagging for discussion before writing any code.

Ngôn ngữ chính
HTML
Star
3
Fork
29
Merge trung bình
2 ngày 1 giờ
Pull request đã merge (30 ngày)
9

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của alphaonelabs/learn

Tất cả issue của alphaonelabs/learn

Issue tương tự

Thêm issue về Security

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.