دستاویزات/کنونشنز اور تصورات

سیکورٹی

Nexy اپنے حملے کی سطح کو کس طرح چھوٹا رکھتا ہے، اسے کن ورژنز کی ضرورت ہے، اور پروجیکٹ کو کیسے چیک کیا جائے۔

ورژن فرش

Nexy کا انحصار FastAPI، Starlette، Jinja2، Vite اور React پر ہے۔ فلور سب سے کم ورژن ہے جس کی Nexy اجازت دیتا ہے۔ ہر ایک شائع شدہ ایڈوائزری کا جواب دیتا ہے۔

اپنے حل شدہ ورژن چیک کریں:

uv pip list | grep -i -E "starlette|fastapi|jinja2"npm ls vite

Nexy کے قواعد کی پیروی کرتا ہے۔

• کے لیے میزبان ہیڈر پر کبھی بھروسہ نہ کریں۔ راستے Nexy اپنے مڈل ویئر (ڈائریکٹری مڈل ویئر) میں scope["path"] نہیں بلکہ request.url.path پڑھتا ہے۔ اپنے میں بھی ایسا ہی کرو۔
• جو پہنچ جائے اس سے بچیں۔ ایچ ٹی ایم ایل کلائنٹ کے اجزاء، Link اوصاف، Image، Audio اور Video اوصاف، ٹیبل آف کنٹینٹ اینکرز اور HTTPException تفصیلات کو بھیجے گئے پروپس سبھی HTML سے بچ گئے ہیں۔ ایک .nexy ٹیمپلیٹ خود سے نہیں بچتا: کسی بھی قدر کے لیے {{ value | e }} لکھیں جو وزیٹر یا ڈیٹا بیس سے آتی ہے، اور صارف کے ان پٹ پر کبھی بھی | safe نہیں۔
• ڈویلپر اینڈ پوائنٹس صرف لوپ بیک اور ہیں۔ تنگ ڈیو رینڈر اینڈ پوائنٹ (/__nexy__/render) صرف src/routes/ کے تحت فائلوں کو .tsx یا .jsx ایکسٹینشن کے ساتھ قبول کرتا ہے، اور صرف ڈیو سرور کے ذریعے قابل رسائی ہے، جو غیر ملکی Host ہیڈر سے انکار کرتا ہے۔
• غلطی کی تفصیلات نہیں ہیں۔ لیک ایک غلطی کا صفحہ جو خود ناکام ہو جاتا ہے صرف اسٹیٹس کوڈ دکھاتا ہے۔
• پیداوار کے جوابات محفوظ ہیں۔ ہیڈرز X-Content-Type-Options: nosniff اور Referrer-Policy: strict-origin-when-cross-origin، جب تک کہ آپ کا کوڈ خود سیٹ نہ کرے۔ Server ہیڈر نہیں بھیجا گیا ہے۔ اپنی پراکسی یا مڈل ویئر میں Strict-Transport-Security اور ایک Content-Security-Policy شامل کریں: وہ آپ کے ڈومین پر منحصر ہیں۔
• حادثہ ایک حوالہ دکھاتا ہے، غلطی نہیں دیکھیں خرابی کے صفحات۔
• Nexy کے Python میں نہیں eval اور نہیں shell=True کوڈ بیرونی پروگرام ایک دلیل کی فہرست کے ساتھ چلتے ہیں۔

آڈٹ چلا رہے ہیں۔

python scripts/audit_dependencies.py        # Python dependencies against the locknpm audit                                    # in a scaffolded projectuv run bandit -r nexy -c .bandit             # static analysis of Nexy itself

Nexy کا اپنا ذخیرہ اپنے چیک میں پہلا اور تیسرا چلاتا ہے۔ اوپر والے فرش پر ایک نئی ایڈوائزری کو pyproject.toml یا سہاروں میں package.json میں فرش کو اٹھا کر سنبھالا جاتا ہے، پھر تالے کو دوبارہ بنا کر۔

محفوظ طریقے سے تعیناتی

• اپنے ڈومینز پر useTrustedHost سیٹ کریں: یہ کسی بھی راستے سے پہلے غیر متوقع Host ہیڈر کو مسترد کرتا ہے۔
• Vite دیو سرور کو بے نقاب نہ کریں: nx dev اسے Nexy اصل کے پیچھے لوپ بیک پر رکھتا ہے۔
• اگر API سکیما عوامی نہیں ہونا چاہئے تو useDocs = False سیٹ کریں۔

دیکھیں مڈل ویئر اور سیکیورٹی۔

ذرائع

• CVE-2026-48710 (BadHost) Starlette میں
• Vite مشاورتی GHSA-fx2h-pf6j-xcff اور GHSA-v2wj-q39q-566r
• Jinja2 CVE-2025-27516
• React سرور پیکجز CVE-2026-44907

اگلے اقدامات

• مڈل ویئر اور سیکورٹی
• تعیناتی
• ترتیب

صفحہ Markdown کے طور پر کاپی کریں GitHub پر ترمیم کریں