Ревью 🔍

Несколько ключевых моментов, которые помогут в процессе проверки:

⏱️ Уровень сложности ревью: 4 🔵🔵🔵🔵⚪

🧪 Нет релевантных тестов

🔒 Проблемы с безопасностью

XSS vulnerability:
Шаблон daily.ejs использует <%- daily.sources %> и <%- daily.content %>, что позволяет выполнение произвольного HTML/JS кода. Это представляет серьёзную уязвимость межсайтового скриптинга (XSS), так как контент не экранируется. Рекомендуется использовать <%= %> для экранирования или принудительная очистка входных данных.

⚡ Рекомендовано к рассмотрению

Возможная проблема

Проверка на наличие daily перед обработкой данных не учитывает, что getNowDaily может вернуть null, что приведёт к ошибке при обращении к свойствам.

const daily = getNowDaily(req.query);
if (!daily) {

Возможная проблема

Использование getUTCDay() вместо getDate() в старом коде могло приводить к некорректным результатам; новый код использует правильные методы, но требуется проверка логики формирования индекса даты.

if (!request || !request.day || !request.month) {
  dailyRequest = {
    month: new Date().getMonth() + 1,
    day: new Date().getDate(),
  };
} else {
  dailyRequest = {
    month: Number(request?.month ?? 1),
    day: Number(request?.day ?? 1),
  };
}

Security

Использование непроверенных данных из источника в шаблоне с использованием <%- %> может привести к XSS-уязвимостям при рендеринге HTML-содержимого.

<div class="description"><%- daily.description %></div>

<div class="sources"><%- daily.sources %></div>

<div class="content">
  <%- daily.content %>

aa-russia

Популярные репозитории