Vulnerability issue: token di verifica della password non viene cambiato se si richiede nuovo token
DanielMorales9 opened this issue · comments
Descrizione
Una volta generato il token non viene mai più cambiato, semplicemente viene cambioato il suo expirydate e viene abilitato. Chiunque può riutilizzarlo e cambiare la password per l'utente.
È necessario modificare il token prima di inviare la mail. Eventualmente solo modificare la stringa random senza creare un nuovo token nel db (per risparmiare spazio).
step per lo sviluppo
vedi #39
Criteri di accettazione
- tutti i casi d'uso che utilizzano il token devono essere modificati
- end2end test per tutti i casi d'uso
- (opzionale) unit test per tutti i casi d'uso
Analisi prima dello sviluppo
- inventory dei casi d'uso
- considerare l'impatto del cambiamento su tutti i casi d'uso
pull request
- deve contenere l'inventory dei casi d'uso