nodeSolidServer / nodeSolidServer/node-solid-server
Information exposure about contained resources
Nessuno ha ancora preso questa issue.
- Lingua principale
- JavaScript
- Stelle
- 1.8k
- Fork
- 308
- Metriche di merge delle PR
- Nessuna PR unita negli ultimi 30g
Descrizione
Given resources:
/foo/
/foo/bar
/foo/baz
where Agent has:
- Read access to
/foo/ - Read access to
/foo/bar - No read access to
/foo/baz
NSS responds to authorized GET requests to /foo/ which includes statements about /foo/baz (besides containment statements) eg:
<baz>
html:Resource, ldp:Resource;
terms:modified "2021-02-05T10:49:07Z"^^XML:dateTime;
st:mtime 1612522147.974;
st:size 12.
It'd be preferable to not expose types (besides indicating it is a container or a non-container eg. html:Resource), modified, mtime, size information about /foo/baz since agent is not granted read access to/foo/baz.
See proposed security consideration: https://github.com/solid/specification/pull/228
You may want to consider performance / response times if you follow-up on this change.
Guida per i contributori
Apri la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Direzione di ricerca
Inizia tracciando la gestione autorizzata di GET per il contenitore /foo/ e la serializzazione della risposta che espone i metadati delle risorse contenute. Verifica come viene controllato l'accesso in lettura per /foo/baz, quindi assicurati che le risorse inaccessibili conservino solo l'indicazione consentita del contenimento e non espongano tipi, timestamp o dimensioni; verifica l'impatto sui tempi di risposta come indicato nell'issue.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Valutazione
- Stack tecnologico
- javascript
- Ambito
- security
- Tipo di issue
- Bug
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Stato di attività
- Ferma
- Chiarezza
- Abbastanza chiara
- Idoneità per principianti
- 38/100