Surface URLs from the operator's config are echoed verbatim, credentials included
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 4/5
- 预计耗时
- 1-2 天
- 新手友好度
- 52/100
- Issue 类型
- 缺陷
- 描述清晰度
- 基本清楚
- 活跃度
- 冷清
- 技术栈
- typescript
- 领域
- security
调研方向
Start by locating the config parsing and the handling of gap.ref, screen.url, and coverage.affected[].url in the repository. Trace how those URLs reach the pull request comment, then check how exact URL matching attributes gaps to screens. Done means URLs containing userinfo are rejected with an error naming the field but not the value, and gap.ref remains the configured URL after parsing; the issue also raises whether query strings should trigger a warning.
由索引模型根据 Issue 内容生成。
描述
What
gap.ref, screen.url, and coverage.affected[].url carry the configured surface URL unchanged into every surface, including the pull request comment. A URL written into usabl.config.json with userinfo, a token in the query, or a fragment is published as written.
Why it matters
These are operator inputs rather than page text, so this is not the same class as page-derived leakage, but a credential in a config URL should never reach a pull request comment.
Direction
Strip userinfo at config parse time and refuse a surface URL that carries one, with a message that names the field and not the value. Consider warning on a query string in a surface URL. Keep gap.ref equal to the configured URL after parsing, because the overlay attributes gaps to screens by exact URL match.
- 主要语言
- TypeScript
- 星标
- 0
- 派生
- 0
- 平均合并
- 8 小时 39 分钟
- 30 天内合并 PR
- 52
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 没有贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
usabl-dev/usabl 的其他 Issue
-
area: engine enhancement performance
难度 2/5 1-3 小时 新手友好度 68/100
维护者通常 1 天内回复
-
area: engine bug
难度 3/5 1-2 天 新手友好度 52/100
维护者通常 1 天内回复
-
area: engine bug
难度 3/5 1-2 天 新手友好度 62/100
维护者通常 1 天内回复
-
area: engine bug
难度 3/5 1-2 天 新手友好度 45/100
维护者通常 1 天内回复
-
area: engine enhancement performance
难度 4/5 1-2 天 新手友好度 45/100
维护者通常 1 天内回复
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 67/100
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 79/100
维护者通常 1 天内回复
-
Invalid-link error for static location apps shows HTML-escaped sample URL (`/`)可能已有人在做 @cgmuniz 今天认领。 未关闭🐛 bug
难度 1/5 1-3 小时 新手友好度 78/100
维护者通常 2 天内回复
-
apps/stage-web bug env/os-linux pending triage scope/audio-output
难度 2/5 1-3 小时 新手友好度 82/100
维护者通常 1 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复