Paramètre GET non nettoyés dans certaines vues de la K-Fêt #255

New issue

Closed

opened 2019-12-26 12:25:54 +01:00 by mpepin · 6 comments

mpepin commented

2019-12-26 12:25:54 +01:00

(Migrated from git.eleves.ens.fr)

Dans le vue history_json notamment on utilise les paramètres GET directement sans les "nettoyer". Ça permet à n'importe quel utilisateur connecté de déclencher des erreurs 500.

Note: ces valeurs passent par l'ORM Django avant d'atteindre la bdd donc j'ai l'impression que ça ne pose pas de problème de sécurité. À gérer rapidement quand même.

Je pense que ça bonne façon de faire ça est de donner request.GET à un formulaire django ad-hoc qui fera le nettoyage pour nous.

Dans le vue `history_json` notamment on utilise les paramètres GET directement sans les "nettoyer". Ça permet à n'importe quel utilisateur connecté de déclencher des erreurs 500. **Note:** ces valeurs passent par l'ORM Django avant d'atteindre la bdd donc j'ai *l'impression* que ça ne pose pas de problème de sécurité. À gérer rapidement quand même. Je pense que ça bonne façon de faire ça est de donner `request.GET` à un formulaire django ad-hoc qui fera le nettoyage pour nous.

mpepin commented

2020-05-07 18:33:33 +02:00

(Migrated from git.eleves.ens.fr)

mentioned in merge request !411