nodeSolidServer / nodeSolidServer/node-solid-server
Able to access private files when logged in with a different account/provider, which has not been granted access
Dieses Issue hat noch niemand übernommen.
- Vorherrschende Sprache
- JavaScript
- Sterne
- 1.8k
- Forks
- 308
- PR-Merge-Kennzahlen
- Keine gemergten PRs in 30 T.
Beschreibung
I appear to be able to read, and overwrite files with a PUT, files in a private folder when logged in to a different account.
The example I found is editing https://andydavison.inrupt.net/private/test.jpg when logged in with https://ldp.demo-ess.inrupt.com/andydavison/. According to the ‘Your storage’ tab at https://andydavison.inrupt.net/, that private folder is not shared with anyone else, and indeed is inaccessible when logged out from both providers.
Beitragsleitfaden
Erste Schritte
- Lies das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreib ins Issue, dass du es übernimmst — das erspart doppelte Arbeit.
- Forke das Repository und arbeite in einem Branch.
- Öffne einen Pull Request, der die Issue-Nummer nennt.
Rechercherichtung
Reproduzieren Sie den gemeldeten Zugriff anhand der beiden Provider-URLs, und prüfen Sie sowohl Lesezugriffe als auch PUT-Anfragen auf die private test.jpg-Datei, während Sie als das andere Konto angemeldet sind. Verfolgen Sie den Autorisierungspfad für den anbieterübergreifenden Zugriff und verifizieren Sie, dass ein Konto ohne Freigabeberechtigung die private Datei weder lesen noch überschreiben kann.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Bewertung
- Tech-Stack
- javascript, nodejs
- Bereich
- authorization, security
- Issue-Typ
- Bug
- Schwierigkeit
- 4/5
- Geschätzter Aufwand
- 3-5 Tage
- Aktivitätsstatus
- Veraltet
- Klarheit
- Größtenteils klar
- Anfängerfreundlichkeit
- 35/100