bjoernpoettkerandClaude Opus 5.5
bb8bf3714f
- ApiKeysController verlangt MANAGE_SETTINGS. Bisher konnte jeder
OIDC-Benutzer einen API-Key erzeugen, der im PermissionsGuard jede
Rechteprüfung umgeht (Rechteausweitung zum Admin).
- MailService setzt disableFileAccess/disableUrlAccess für jede Mail.
- send-email im Posteingang prüft den Body streng auf Strings/Zahlen.
Bisher liest nodemailer bei html: { path: '/proc/self/environ' }
beliebige Serverdateien ein und verschickt sie.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
51 lines
1.6 KiB
TypeScript
51 lines
1.6 KiB
TypeScript
import { BadRequestException } from '@nestjs/common';
|
|
import { parseSendEmailBody } from './send-email-body.util';
|
|
|
|
describe('parseSendEmailBody', () => {
|
|
const gueltig = {
|
|
to: 'a@example.org',
|
|
subject: 'Betreff',
|
|
body: 'Text',
|
|
html: '<p>Text</p>',
|
|
segments: [{ pages: [1, 2], filename: 'beleg' }],
|
|
sender: 'user',
|
|
};
|
|
|
|
it('übernimmt einen gültigen Body', () => {
|
|
expect(parseSendEmailBody(gueltig)).toEqual(gueltig);
|
|
});
|
|
|
|
it('lässt html und sender weg, wenn sie fehlen', () => {
|
|
const ohne = { ...gueltig, html: undefined, sender: undefined };
|
|
expect(parseSendEmailBody(ohne)).toEqual({
|
|
to: gueltig.to,
|
|
subject: gueltig.subject,
|
|
body: gueltig.body,
|
|
segments: gueltig.segments,
|
|
});
|
|
});
|
|
|
|
it.each([
|
|
['html als Objekt mit path', { html: { path: '/proc/self/environ' } }],
|
|
['body als Objekt mit href', { body: { href: 'http://169.254.169.254/' } }],
|
|
['to als Objekt', { to: { address: 'a@example.org' } }],
|
|
['to als Array', { to: ['a@example.org'] }],
|
|
['subject fehlt', { subject: undefined }],
|
|
['segments kein Array', { segments: 'x' }],
|
|
['Seite keine Zahl', { segments: [{ pages: ['1'], filename: 'x' }] }],
|
|
[
|
|
'filename kein String',
|
|
{ segments: [{ pages: [1], filename: { path: '/etc/passwd' } }] },
|
|
],
|
|
['sender kein String', { sender: { x: 1 } }],
|
|
])('lehnt ab: %s', (_name, patch) => {
|
|
expect(() => parseSendEmailBody({ ...gueltig, ...patch })).toThrow(
|
|
BadRequestException,
|
|
);
|
|
});
|
|
|
|
it('lehnt einen fehlenden Body ab', () => {
|
|
expect(() => parseSendEmailBody(undefined)).toThrow(BadRequestException);
|
|
});
|
|
});
|