security: escape API values before rendering, add a security policy

[9t29zhmwdh-coder]

Was mir aufgefallen ist

RepoLedger rendert die Repos irgendeines GitHub-Accounts, den du eintippst, also fremde Daten. Diese Werte gingen ungefiltert in ein innerHTML-Template. Eine Escaping-Funktion gab es im ganzen File nicht.

Wie schlimm ist das

Heute nicht ausnutzbar, und das sage ich deutlich, damit es nicht dramatischer klingt als es ist. Die angezeigten Felder sind von GitHub formatbeschränkt: Repo-Namen erlauben nur A-Za-z0-9._-, Sprachen und SPDX-Kennungen kommen aus festen Listen, der Rest sind Zahlen und Daten. Da passt kein Markup rein.

Trotzdem zugemacht. Die Beschränkung, die das sicher macht, ist GitHubs, nicht die dieser Seite, und sie gilt genau für diese Felder. Wer später die Repo-Beschreibung oder die Topics in die Tabelle nimmt, beides Freitext, hätte sofort eine Injektionsstelle, und im Code stünde nichts, was sie abfängt.

Geprüft

Die Funktion gegen fünf Eingaben laufen lassen, inklusive null und undefined:

"<script>alert(1)</script>"  ->  "&lt;script&gt;alert(1)&lt;/script&gt;"
"\" onmouseover=\"x"          ->  "&quot; onmouseover=&quot;x"
"normal-repo_name.js"        ->  "normal-repo_name.js"
null                         ->  ""

Für dich als Nutzer: an der Anzeige ändert sich nichts. Repo-Namen und Sprachen sehen genauso aus wie vorher, weil sie keine Sonderzeichen enthalten.

Ausserdem: SECURITY.md

Das Repo hatte keine. Es ist ein öffentliches Tool, das eine API anspricht und optional einen Personal Access Token entgegennimmt, und es gab keinen privaten Weg, ein Problem damit zu melden. Die Datei beschreibt auch, was mit dem Token passiert: er bleibt in der Seite, wird nicht gespeichert und geht nur an GitHub.

Nebenwirkungen

Version 1.1.7 mit CHANGELOG-Eintrag.