duffyduck
65ec07e274
28.1 URI-Schema unvollstaendig: DANGEROUS_URI_SCHEMES erweitert um file:/ftp: – "ftp://evil.com/x.js" und "file:///etc/passwd" wurden vorher in companyName akzeptiert. 28.2 HTML-Entity-Decoding-Bypass: stripHtml() lief direkt ueber den Roh-String, "javascript:", "<script>" und "<script>" umgingen die Regex. decodeHtmlEntities() dekodiert jetzt numerische (decimal+hex) + gaengige named entities VOR dem Tag-/URI-Strip. 28.3 Vollmacht-Upload Magic-Byte-Check: multer pruefte nur client-MIME, HTML/PHP/Shell-Scripts kamen als application/pdf durch. uploadAuthorizationDocument liest jetzt die ersten 5 Bytes und verlangt "%PDF-", sonst Loeschen + 400. 28.4 Rate-Limit auf /api/public/consent: 30 Requests pro IP pro 15min. Brute-Force-sicher war der 128-bit- UUID-Hash schon, aber ohne Limit konnte ein Angreifer das System mit Audit-Log- und Mail-Spam belasten. Live-verifiziert auf dev: alle vier Bypaesse blockiert, legitime Eingaben unangetastet. Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
16 lines
585 B
TypeScript
16 lines
585 B
TypeScript
import { Router } from 'express';
|
||
import * as controller from '../controllers/consent-public.controller.js';
|
||
import { publicConsentRateLimiter } from '../middleware/rateLimit.js';
|
||
|
||
const router = Router();
|
||
|
||
// Öffentliche Routes - KEINE Authentifizierung erforderlich.
|
||
// Rate-Limit gegen DoS – siehe publicConsentRateLimiter
|
||
// (Pentest 2026-05-20 INFO 28.4).
|
||
router.use(publicConsentRateLimiter);
|
||
router.get('/:hash', controller.getConsentPage);
|
||
router.post('/:hash/grant', controller.grantAllConsents);
|
||
router.get('/:hash/pdf', controller.getConsentPdf);
|
||
|
||
export default router;
|