JSONAPI-Resources / JSONAPI-Resources/jsonapi-resources
Security issue: Can remove to-one relationship even if not in updatable_fields
Dieses Issue hat noch niemand übernommen.
- Vorherrschende Sprache
- Ruby
- Sterne
- 2.3k
- Forks
- 546
- PR-Merge-Kennzahlen
- Keine gemergten PRs in 30 T.
Beschreibung
See:
Removing a to-one relationship is handled as a special case, which does not call verify_params. Therefore, a relationship which the user would otherwise expect to not be updatable (because updatable_fields does not include it) can be altered.
Beitragsleitfaden
Für dieses Repository ist kein Beitragsleitfaden indexiert
Erste Schritte
- Lies das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreib ins Issue, dass du es übernimmst — das erspart doppelte Arbeit.
- Forke das Repository und arbeite in einem Branch.
- Öffne einen Pull Request, der die Issue-Nummer nennt.
Rechercherichtung
Beginne in lib/jsonapi/request.rb ungefähr bei Zeile 119 und verfolge, wie das Entfernen einer To-one-Beziehung verify_params umgeht. Bestätige, dass updatable_fields diesen Pfad derzeit nicht schützt, und überprüfe anschließend, dass das Entfernen der Beziehung abgelehnt wird, wenn die Beziehung nicht zur Aktualisierung freigegeben ist.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Bewertung
- Tech-Stack
- ruby
- Bereich
- api, security
- Issue-Typ
- Bug
- Schwierigkeit
- 3/5
- Geschätzter Aufwand
- 1-2 Tage
- Aktivitätsstatus
- Veraltet
- Klarheit
- Größtenteils klar
- Anfängerfreundlichkeit
- 45/100