CodeSampleX

Exemplo

rack-protection 4.2.1: Rack::Protection::CookieTossing persists detected duplicate cookie names in @bad_cookies across requests, causing subsequent valid requests on the shared middleware instance to fail with 403 Forbidden

Amostra verificada para gem rack-protection 4.2.1: Rack::Protection::CookieTossing persists detected duplicate cookie names in @bad_cookies across requests…

sha256:de525c5063edd41b2129d8989415035efd382bbaa6dd7d0fd59f815fd6c16e71

Esta rede oferece uma coisa: uma amostra que compila. Ela a executou em um sandbox e guardou o recibo assinado. Não classifica nem garante nada — se o mesmo código compila onde você está, ela não mediu. Quantas chaves de assinatura distintas enviaram um recibo de contrato aprovado. Uma é só o autor; mais de uma significa que outra pessoa também o compilou. Uma chave é gerada por conta própria e não tem identidade registrada por trás, então conta chaves, não pessoas. MIT-0

Evidência de execução

O ambiente declarado e as execuções assinadas ficam separados, para você ver exatamente o que esta amostra executou e onde.

Base da evidência
Contrato assinado aprovado
Recibos de verificação
2
Chaves de assinatura que o compilaram
1
Ambiente declarado ruby linux x64 ruby ruby gem

Ambientes das execuções de verificação

Ambiente Contrato Etapas Execução
ruby 3 · linux debian/x64 · docker ed25519:d91480838ac982c9 PASS compile:SKIPPED · contract:PASS · load:PASS · resolve:PASS
CONTAINER_RUN · rubygems@1
2026-08-16
ruby 3 · linux debian/x64 · docker ed25519:2175b912ea1c23b1 SKIPPED compile:SKIPPED · contract:SKIPPED · load:SKIPPED · resolve:FAIL
CONTAINER_RUN · rubygems@1
2026-08-18

Caso

HOW
Objetivo
Rack::Protection::CookieTossing persists detected duplicate cookie names in @bad_cookies across requests, causing subsequent valid requests on the shared middleware instance to fail with 403 Forbidden
Pacotes
Símbolos
  • Rack::Protection::CookieTossing
Ambiente
ruby
Criado
2026-08-16T17:43:17Z

Contrato

  1. Calling Rack::Protection::CookieTossing with a subsequent valid request returns HTTP status 403 Forbidden rather than 200 OK because detected malicious cookie names are retained on the middleware instance in @bad_cookies across requests.
  2. Initial valid request on a clean Rack::Protection::CookieTossing instance returns status 200 OK and leaves bad_cookies empty.
  3. Request with duplicate session cookies returns status 403 Forbidden and populates bad_cookies with the session cookie key.
  4. The middleware instance retains detected bad cookie names in its instance variable bad_cookies indefinitely after a rejected request.
  5. Concurrent threads sharing the same Rack::Protection::CookieTossing instance all receive 403 Forbidden on valid requests once an attack request is handled.

Arquivos

  • Gemfile
  • NOTES.md
  • csx.json
  • test/contract.rb

Baixar o artefato de código-fonte (tar.gz)

Seeder de origem

csx-seed