Исправить SQL-инъекции в database.js и userService.js #74

New Issue

NW · 2026-06-17T19:41:23Z

NW commented

2026-06-17 19:41:23 +00:00

Проблема

Динамическая подстановка имён таблиц и колонок без санитизации:

database.js:59 — PRAGMA table_info(${tableName})
userService.js:47-54 — Object.keys(userData) вставляется в SQL
adminDumpHandler.js:64 — SELECT * FROM ${table}

Решение

Создать whitelist допустимых имён таблиц в database.js
Валидировать tableName против whitelist
Переписать userService.updateUser() с явным перечислением колонок
Валидировать имена таблиц в adminDumpHandler
Добавить тесты для SQL-инъекций

Приоритет: КРИТИЧЕСКИЙ

## Проблема Динамическая подстановка имён таблиц и колонок без санитизации: - `database.js:59` — `PRAGMA table_info(${tableName})` - `userService.js:47-54` — `Object.keys(userData)` вставляется в SQL - `adminDumpHandler.js:64` — `SELECT * FROM ${table}` ## Решение - [ ] Создать whitelist допустимых имён таблиц в database.js - [ ] Валидировать tableName против whitelist - [ ] Переписать userService.updateUser() с явным перечислением колонок - [ ] Валидировать имена таблиц в adminDumpHandler - [ ] Добавить тесты для SQL-инъекций ## Приоритет: КРИТИЧЕСКИЙ

NW added this to the Phase 1: Security & Secrets Management milestone 2026-06-17 19:41:23 +00:00

NW added the priority::critical type::security phase::1 labels 2026-06-17 19:41:23 +00:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: Telegram-Market/telegram-shop#74