Produits Entr'ouvert » Authentic 2

On peut envisager quelque chose au niveau de l'API, répondre en erreur quand send_registration_email_next_url contient une URL qui ne sera pas prise en compte ? Ou logguer le fait que ? (ou bien sûr qu'une URL transmise par l'API soit prise en compte, même si elle n'a pas été explicitement déclarée).

@@ -894,6 +899,11 @@ def good_next_url(request, next_url):
         return True
     if same_origin(request.build_absolute_uri(), next_url):
         return True
+    signature = request.POST.get(constants.NEXT_URL_SIGNATURE) or request.GET.get(constants.NEXT_URL_SIGNATURE)
+
+    if signature:
+        return crypto.check_hmac_url(settings.SECRET_KEY, next_url, signature)

Question de principe j'aurais bien vu cet ajout de code remonter plus haut la fonction good_next_url : s'il y a une signature, il faut la vérifier. Si la signature ne colle pas, même pour un next sur une ressource de même origine, c'est qu'il y a une embrouille.

Paul Marillonnet a écrit :

[...]

Question de principe j'aurais bien vu cet ajout de code remonter plus haut la fonction good_next_url : s'il y a une signature, il faut la vérifier. Si la signature ne colle pas, même pour un next sur une ressource de même origine, c'est qu'il y a une embrouille.

Si on était la NSA je te dirai oui, mais l'avantage que j'y vois c'est que les cas qui marchent déjà ne sont pas impactés et comme le bloquage des URLs de redirection n'est pas non plus une énorme avancée dans la sécurité ça me parait suffisant de dire que les signatures c'est en option du système actuel.