Уязвимость в платформе YApi: токены мог подделать любой участник проекта

Платформа YApi, популярное решение для работы с API, используемое многими командами, оставалась без обновлений с 2022 года. За это время накопились проблемы совместимости с новыми версиями Node.js, нерабочий клиент и устаревшее расширение для браузера. Один из разработчиков решил продолжить поддержку проекта, поскольку его активно используют.

В процессе анализа кодовой базы была выявлена серьёзная уязвимость: токены проектов, не настроивших параметр `passsalt`, шифровались с помощью общеизвестного ключа. Это позволяло любому участнику проекта с минимальными техническими знаниями подделать токены другого пользователя и получить несанкционированный доступ.

Обнаруживший проблему разработчик не только устранил эту уязвимость, обеспечив обратную совместимость со старыми токенами, но и реализовал ряд других улучшений. Среди них — песочница для мок-скриптов на базе `isolated-vm` для предотвращения выполнения произвольного кода на сервере, а также новое браузерное расширение, совместимое с актуальными стандартами, например, Manifest V3.