[Security] WebSocket ssl Parameter Accepts False/None Without Warning
还没有人认领这个 Issue。
评估
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 56/100
- Issue 类型
- 缺陷
- 描述清晰度
- 基本清楚
- 活跃度
- 冷清
- 技术栈
- python
- 领域
- networking, security
调研方向
从 common/src/binance_common/websocket.py 中 init_connection 代码的第 164-170 行和第 182-188 行附近开始，然后跟踪 https_agent 的配置直到 aiohttp.ws_connect。使用 https_agent=False 重现一次连接，并验证完成的更改不再默默允许禁用 SSL 验证，同时安全影响已得到记录。
由索引模型根据 Issue 内容生成。
描述
Bug Name
WebSocket ssl Parameter Accepts False/None Without Warning
Attack Scenario
The WebSocket init_connection method passes configuration.https_agent directly to aiohttp.ws_connect(ssl=...). When ssl=False, aiohttp disables SSL verification entirely without any warning from the SDK.
Impact
A user who sets https_agent=False would silently disable TLS certificate verification for all WebSocket connections, enabling MITM attacks.
Components
File: common/src/binance_common/websocket.py (lines 164-170, 182-188). ssl parameter passed from configuration.https_agent.
Reproduction
- Create WebSocket configuration with https_agent=False.
- Connect to WebSocket API.
- SSL verification is silently disabled -- no warning or error.
Fix
Add a validation check: if https_agent is False, raise a warning or error. Document the security implications clearly.
Details
Finding ID: SEC-05
Severity: Low
Researcher: Independent Security Researcher -- Mefai Security Team
- 主要语言
- Python
- 星标
- 2.9k
- 派生
- 708
- 平均合并
- 1 天 5 小时
- 30 天内合并 PR
- 4
环境准备
这个项目没有提供开发容器、Dockerfile 或贡献指南，环境需要你自己搭建：先看它的 README，通用步骤见我们的新手贡献指南。
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
binance/binance-connector-python 的其他 Issue
-
难度 2/5 1-3 小时 新手友好度 82/100
-
难度 2/5 1-3 小时 新手友好度 88/100
binance/binance-connector-python#570 · 2 条评论 ·
-
难度 2/5 1-3 小时 新手友好度 72/100
binance/binance-connector-python#514 · 2 条评论 ·
-
难度 4/5 3-5 天 新手友好度 45/100
-
难度 4/5 3-5 天 新手友好度 15/100
binance/binance-connector-python#575 · 1 条评论 ·
查看 binance/binance-connector-python 的全部 Issue
相似的 Issue
-
idxmax/idxmin raise ValueError when a single partition is all-NA可能已有人在做 @Jason10191019999 今天认领。 未关闭needs triage
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 3 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 64/100
-
[BUG]: Windows GUI package of v1.17.0-rc3 has no GTK DLLs可能已有人在做 @andrut-ds 今天认领。 未关闭bug CI/CD Pactus-GUI Windows
难度 2/5 1-3 小时 新手友好度 82/100
pactus-project/pactus#2428 ·
维护者通常 1 天内回复
-
DiskDataset.reshard() can hang with a zero or negative shard size可能已有人在做 @Programmer-Develops 今天认领。 未关闭
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 19 天内回复
-
难度 2/5 1-3 小时 新手友好度 66/100
GNS3/gns3-server#3017 · 1 条评论 ·
维护者通常 1 天内回复