Security issue on mutations
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 3/5
- Thời gian dự kiến
- 1-2 ngày
- Mức phù hợp với người mới
- 52/100
- Loại issue
- Lỗi
- Độ rõ ràng
- Khá rõ ràng
- Mức độ hoạt động
- Ít trao đổi
- Công nghệ
- javascript
- Lĩnh vực
- api, authorization, security
Hướng nghiên cứu
Bắt đầu bằng cách xác định các mutation gửi lại email hoặc thay đổi mật khẩu, rồi theo dõi cách xử lý ID của người yêu cầu và ID của người dùng mục tiêu. Xác nhận hành vi dự kiến đối với các ID không khớp, sau đó xác minh rằng các mutation đó từ chối yêu cầu trong khi các yêu cầu từ cùng một người dùng vẫn tiếp tục hoạt động; issue không nêu tên tệp hoặc bài kiểm thử nào.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Mutations of resend emails or passwords should ne denied if the user id is not equal to the requester id, it could be an easy check inside each mutations but I think there's a smarter way to do it
- Ngôn ngữ chính
- JavaScript
- Star
- 5
- Fork
- 2
- Chỉ số merge pull request
- Không có pull request nào được merge trong 30 ngày
Chuẩn bị môi trường
- Có Dockerfile hoặc tệp Docker Compose
- Không có mẫu pull request
- Không có hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue tương tự
-
enhancement
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 67/100
Maintainer thường phản hồi trong vòng 1 ngày
-
enhancement good first issue
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100
SasanLabs/VulnerableApp#836 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100
keyxmakerx/Chronicle#1469 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Connection.prototype.bulkWrite() with ordered: false resolves null when a write failsCó thể đã có người làm @maxymlyskov đã nhận hôm nay. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
Automattic/mongoose#16601 ·
Maintainer thường phản hồi trong vòng 2 ngày
-
sandbox-vercel: persistent: false is dropped for live sandboxes created from a template, so every stop writes a snapshotCó thể đã có người làm @jvg123 đã nhận hôm nay. Đang mởfactory-active task-identify-harness-labels-done task-identify-issue-type-done
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
vercel/ai#23475 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày