JSONAPI-Resources / JSONAPI-Resources/jsonapi-resources

Security issue: Can remove to-one relationship even if not in updatable_fields

Abierto
#645 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Lenguaje dominante
Ruby
Estrellas
2.3k
Forks
546
Métricas de merge de PR
Sin PR fusionados en 30 d

Descripción

See:

https://github.com/cerebris/jsonapi-resources/blob/49a738759f1ff03cf5f18bf77eab627576ba63ed/lib/jsonapi/request.rb#L119

Removing a to-one relationship is handled as a special case, which does not call verify_params. Therefore, a relationship which the user would otherwise expect to not be updatable (because updatable_fields does not include it) can be altered.

Guía de contribución

No hay ninguna guía de contribución indexada para este repositorio

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Línea de trabajo

Comienza en lib/jsonapi/request.rb alrededor de la línea 119 y sigue cómo la eliminación de una relación to-one evita verify_params. Confirma que updatable_fields actualmente no protege esta ruta y, a continuación, verifica que la eliminación de la relación se rechaza cuando no se permite actualizarla.

Escrito por el modelo de indexación a partir del texto del issue.

Evaluación

Stack tecnológico
ruby
Área
api, security
Tipo de issue
Error
Dificultad
3/5
Tiempo estimado
1-2 días
Estado de actividad
Estancado
Claridad
Bastante claro
Aptitud para principiantes
45/100

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.