RDietermann/rustification-server
1
1
Fork 0
Code Issues 10 Pull Requests Actions Packages Projects Releases Wiki Activity

Nachrichten-Handler vertrauen user_id aus dem Request-Body #3

New Issue
Open
opened 2026-08-14 17:10:25 +00:00 by RDietermann · 0 comments
RDietermann commented 2026-08-14 17:10:25 +00:00
Owner
Copy Link

create_message, update_message und delete_message nehmen user_id und conversation_id ungeprueft aus dem Body und pruefen keine Mitgliedschaft. Jeder angemeldete Nutzer kann damit im Namen eines anderen in eine beliebige Conversation schreiben.

Vorbestehend, aber das Realtime-Design stuetzt sich ausdruecklich darauf, dass die REST-Endpunkte die Sicherheitsgrenze sind — /sync, /changes und die Historie pruefen bereits.

Muss geschlossen sein, bevor eine Instanz erreichbar ist.

Hintergrund: docs/realtime/issues/07-verbindungsaufbau-und-auth.md

`create_message`, `update_message` und `delete_message` nehmen `user_id` und `conversation_id` ungeprueft aus dem Body und pruefen keine Mitgliedschaft. Jeder angemeldete Nutzer kann damit im Namen eines anderen in eine beliebige Conversation schreiben. Vorbestehend, aber das Realtime-Design stuetzt sich ausdruecklich darauf, dass die REST-Endpunkte die Sicherheitsgrenze sind — `/sync`, `/changes` und die Historie pruefen bereits. Muss geschlossen sein, bevor eine Instanz erreichbar ist. Hintergrund: `docs/realtime/issues/07-verbindungsaufbau-und-auth.md`
RDietermann added the security label 2026-08-14 17:10:25 +00:00
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
auth
Anmeldung und Token
 blocker
Blockiert andere Arbeit
 chore
Wartung
 effort
Eigenes Vorhaben, kein Einzelticket
 fog
Bewusst vertagt, noch nicht scharf genug
 mobile
Android und iOS
 realtime
Realtime-Layer: Cursor, Events, WebSocket
 security
Sicherheitsrelevant
 ui
Oberflaeche
No Label security
Milestone
No items
No Milestone
Projects
Clear projects
No project
Assignees
Clear assignees
RDietermann
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: RDietermann/rustification-server#3
Delete Branch "%!s()"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?