San ORM Leaks, che filtrava i segreti dei database

Patrono degli ORM, dei filtri troppo generosi e delle API che rispondono più di quanto dovrebbero.

Vita

Nel giugno 2024 Alex Brown di elttam descrisse una classe di difetti negli ORM, da Django a Strapi: quando l'input dell'utente arriva fino ai filtri delle query, si possono attraversare le relazioni tra tabelle e interrogare colonne mai pensate per essere esposte. Confrontando le risposte un carattere alla volta, si deducono hash di password e token di reset. Non un bug solo, ma un modo di pensare storto, con una manciata di CVE a seguito.

Preghiera

O San ORM Leaks, che fai confessare al database ciò che non voleva dire, insegna ai nostri filtri a lasciar passare solo i campi giusti. Amen.

Come si festeggia

Si festeggia mettendo sulla lista bianca i campi filtrabili e aggiornando Strapi e gli altri framework colpiti.

Filtro generoso, database loquace.