nodeSolidServer / nodeSolidServer/node-solid-server
Information exposure about contained resources
Dieses Issue hat noch niemand übernommen.
- Vorherrschende Sprache
- JavaScript
- Sterne
- 1.8k
- Forks
- 308
- PR-Merge-Kennzahlen
- Keine gemergten PRs in 30 T.
Beschreibung
Given resources:
/foo/
/foo/bar
/foo/baz
where Agent has:
- Read access to
/foo/ - Read access to
/foo/bar - No read access to
/foo/baz
NSS responds to authorized GET requests to /foo/ which includes statements about /foo/baz (besides containment statements) eg:
<baz>
html:Resource, ldp:Resource;
terms:modified "2021-02-05T10:49:07Z"^^XML:dateTime;
st:mtime 1612522147.974;
st:size 12.
It'd be preferable to not expose types (besides indicating it is a container or a non-container eg. html:Resource), modified, mtime, size information about /foo/baz since agent is not granted read access to/foo/baz.
See proposed security consideration: https://github.com/solid/specification/pull/228
You may want to consider performance / response times if you follow-up on this change.
Beitragsleitfaden
Erste Schritte
- Lies das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreib ins Issue, dass du es übernimmst — das erspart doppelte Arbeit.
- Forke das Repository und arbeite in einem Branch.
- Öffne einen Pull Request, der die Issue-Nummer nennt.
Rechercherichtung
Beginne damit, die autorisierte GET-Verarbeitung für den Container /foo/ und die Antwortserialisierung nachzuverfolgen, die Metadaten für enthaltene Ressourcen offenlegt. Überprüfe, wie der Lesezugriff für /foo/baz geprüft wird, und stelle dann sicher, dass nicht zugängliche Ressourcen nur die zulässige Angabe zur enthaltenen Struktur behalten und keine Typen, Zeitstempel oder Größe offenlegen; prüfe die Auswirkungen auf die Antwortzeit wie im Issue vermerkt.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Bewertung
- Tech-Stack
- javascript
- Bereich
- security
- Issue-Typ
- Bug
- Schwierigkeit
- 4/5
- Geschätzter Aufwand
- 3-5 Tage
- Aktivitätsstatus
- Veraltet
- Klarheit
- Größtenteils klar
- Anfängerfreundlichkeit
- 38/100