Repository navigation
Passwortgeschützte Datensätze nicht ernten, CI-Rechte, Abhängigkeiten (v2.47.1) - #150
Merged
Merged
Conversation
…eiten (v2.47.1) - REST: /catalog und /delta lassen passwortgeschützte Datensätze weg, /datasets/<id> antwortet mit 404; ein nachträglich geschützter Datensatz erscheint in /delta als Löschmeldung. - CI: permissions: contents: read (7 CodeQL-Hinweise). - npm overrides für qs, body-parser, glob/minimatch (Dependabot-Hinweise, npm audit 0 Funde); nur Entwicklungswerkzeuge. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01JB1xUQM892bVZ4Yv3MZjvq
….47.1 - CLAUDE.md: Testzahlen, Testdateien, E2E-Specs einzeln in der CI, CI-Rechte, Menüstruktur mit Batch-Import und Beispieldaten, REST- Antworten wie sie sind (format, full, odw:removed), Harvest-Ausschlüsse, npm-overrides, PR-/Release-Ablauf statt „direkt zu main", Erledigt-Liste bis 2.47.1, Versionsstellen. - README: Endpunkte liefern nur Öffentliches, Löschmeldungen, Roadmap. - DOCUMENTATION: Testbaum, npm-Abhängigkeiten, CI-Abschnitt. - TECHNICAL-SPEC: Harvest-Umfang im Umsetzungsstand. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01JB1xUQM892bVZ4Yv3MZjvq
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Worum es geht
Ein Sicherheits-Patch mit drei Teilen.
1. Passwortgeschützte Datensätze in keinem Harvest-Endpunkt
Der Datenkatalog auf der Website blendete sie schon aus,
/cataloglieferte sie aber vollständig aus./catalog(auch?full=1und Turtle) lässt sie weg./deltalässt sie bei den geänderten Datensätzen weg./datasets/<id>antwortet mit derselben 404 wie für eine unbekannte ID./deltaunterodw:removed. So entfernen ihn auch Portale, die nur Änderungen abholen. Das Setzen des Passworts ändertpost_modified, der Datensatz fällt also ins Abfragefenster.2. CodeQL: „Workflow does not contain permissions“ (7 Hinweise in
ci.yml)ci.ymlsetztpermissions: contents: readfür alle Jobs.3. Dependabot und
npm audit: Abhängigkeiten der Testumgebungoverridesinpackage.json:qs→ 6.17.1body-parser→ 1.20.9glob→ 14.0.3, dadurchminimatch→ 11.0.4minimatch#266,qs#261) ab, dazu weitere Funde vonnpm audit:body-parser(hoch),globund zwei weitereqs-Hinweise.npm auditmeldet danach 0 Funde.Test plan
/datasets/<id>→ 404 für einen passwortgeschützten Datensatz.verify-package.pygeprüft./catalog,/datasets/<id>antwortet mit 404,/deltanicht unter den geänderten Datensätzen, aber als Löschmeldung.api-endpoints.spec.js: Der geschützte Datensatz erscheint in keinem Endpunkt.npm cimit den Overrides lokal geprüft:wp-env --versionläuft,Generated by Claude Code