Пост канала
- фото
Datasette 0.65.5: перевод строки в имени таблицы обходил права Запрос к datasette просит таблицу users — в конце имени символ перевода строки, которого не видно в логе. Парсер и слой прав расходятся на одном байте, приватные строки уходят наружу. В 0.65.5 закрыли обход по GHSA-h547-rmjf-5m2m от dpfkdlemtp. Не инъекция в SQL и не баг в фильтре: два слоя по-разному нормализуют одно имя таблицы. В обычном ревью глаз не цепляется — строка выглядит корректной, пока не смотришь в конец имени побайтово. Datasette с закрытыми таблицами лучше обновить сразу: патч Simon Willison от 16 сентября снова проверяет права даже с хвостовым переводом строки. Одна минорная версия закрывает дыру без смены схемы данных.
Открыть в MAX- Просмотры
- 33
- ER
- —
- Реакции
- —