⬇ Scarica il santino: ·
San ORM Leaks, che filtrava i segreti dei database
Patrono degli ORM, dei filtri troppo generosi e delle API che rispondono più di quanto dovrebbero.
Vita
Nel giugno 2024 Alex Brown di elttam descrisse una classe di difetti negli ORM, da Django a Strapi: quando l'input dell'utente arriva fino ai filtri delle query, si possono attraversare le relazioni tra tabelle e interrogare colonne mai pensate per essere esposte. Confrontando le risposte un carattere alla volta, si deducono hash di password e token di reset. Non un bug solo, ma un modo di pensare storto, con una manciata di CVE a seguito.
Preghiera
O San ORM Leaks, che fai confessare al database ciò che non voleva dire, insegna ai nostri filtri a lasciar passare solo i campi giusti. Amen.
Come si festeggia
Si festeggia mettendo sulla lista bianca i campi filtrabili e aggiornando Strapi e gli altri framework colpiti.
Filtro generoso, database loquace.