Security: Auth-Tokens laufen nie ab (_sessions wächst unbegrenzt) #3

New Issue

2026-04-23T14:14:01+02:00

ferdi2go commented

2026-04-23 14:14:01 +02:00

Problem\n\n`server.py:45` — Jeder Login erzeugt einen Token der dauerhaft gültig bleibt. Das `_sessions`-Set wächst unbegrenzt und gestohlene Tokens bleiben ewig aktiv.\n\n## Fix\n\nTokens mit Timestamp speichern und bei jedem Request Tokens älter als 24h entfernen:\n`python\n_sessions: dict = {} # token -> created_at\n# Im Middleware: bereinige abgelaufene Tokens\n`

## Problem\n\n`server.py:45` — Jeder Login erzeugt einen Token der dauerhaft gültig bleibt. Das `_sessions`-Set wächst unbegrenzt und gestohlene Tokens bleiben ewig aktiv.\n\n## Fix\n\nTokens mit Timestamp speichern und bei jedem Request Tokens älter als 24h entfernen:\n```python\n_sessions: dict = {} # token -> created_at\n# Im Middleware: bereinige abgelaufene Tokens\n```

ferdi2go added the priority: high security labels 2026-04-23 14:14:01 +02:00

ferdi2go commented

2026-04-23 14:22:50 +02:00