Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Possible authority leak to callers

Đang mở
  • Có gì không ổn?
#8 0 bình luận 0 reaction 1 người được giao Xem trên GitHub

@lePereT đang làm issue này rồi.

Từ ngày 27/4/2026.

Đánh giá

Issue này chưa được đánh giá.

Mô tả

Taken from GPT analysis. This needs confirmation:

High risk: the new derive() API leaks bus:connect(opts) authority to any caller that is only handed a connection.

Commit 6541236 adds Connection:derive(), and it simply forwards to Bus:connect(opts) after defaulting principal only when absent. That means a caller can derive with an arbitrary principal and arbitrary trusted origin_factory. The new tests and docs explicitly bless that behavior in

Failure mode: code that only has a low-privilege connection can mint a higher-privilege sibling or spoof fabric_import provenance, which bypasses the authorizer boundary and can corrupt provenance-based routing/policy decisions. I would treat this as a blocker unless derive() is restricted to inherited authority or override fields are separately authorized.

Ngôn ngữ chính
Lua
Star
0
Fork
0
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Mở trong Codespaces

Khởi chạy dev container của dự án ngay trên trình duyệt, bằng tài khoản GitHub của bạn.

  • Không có Dockerfile hay tệp Docker Compose
  • Không có mẫu pull request
  • Không có hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của jangala-dev/lua-bus

Tất cả issue của jangala-dev/lua-bus

Issue tương tự

Thêm issue về Lua

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.