Staging #915
There are no files selected for viewing
| Original file line number | Diff line number | Diff line change | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
|
@@ -9,20 +9,25 @@ | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| return session | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| } | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| const { graph } = await params | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| try { | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| const query = "MATCH (n) OPTIONAL MATCH (n)-[e]->() WITH count(n) as nodes, count(e) as edges RETURN nodes, edges" | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| const result = await fetch(`${request.nextUrl.origin}/api/graph/${graph}/?query=${encodeURIComponent(query)}`, { | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| method: "GET", | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| headers: { | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| cookie: request.headers.get('cookie') || '', | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| } | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| }) | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
Comment on lines
+17
to
+22
Check failureCode scanning / CodeQL Server-side request forgery
Copilot AutofixAI 2 days ago To fix the issue, we need to validate and sanitize the Steps to implement the fix:
Suggested changeset
1
app/api/graph/[graph]/count/route.ts
Copilot is powered by AI and may make mistakes. Always verify output.
Comment on lines
+17
to
+22
There was a problem hiding this comment. Mitigate potential SSRF vulnerability by validating the graph parameter The URL of the fetch request is constructed using a user-provided value ( const { graph } = await params
+
+ // Validate graph parameter to prevent path traversal or injection
+ if (!graph || /[^a-zA-Z0-9_-]/.test(graph)) {
+ return NextResponse.json({ error: "Invalid graph name" }, { status: 400 })
+ }
try {📝 Committable suggestion
Suggested change
🧰 Tools🪛 GitHub Check: CodeQL[failure] 17-22: Server-side request forgery 🤖 Prompt for AI Agents |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| if (!result.ok) throw new Error("Something went wrong") | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
There was a problem hiding this comment. 🛠️ Refactor suggestion Improve error handling with specific error details The current error message is too generic, making debugging difficult. - if (!result.ok) throw new Error("Something went wrong")
+ if (!result.ok) {
+ const errorText = await result.text().catch(() => "Could not read error response");
+ throw new Error(`Failed to fetch graph data: ${result.status} ${result.statusText}. ${errorText}`);
+ }📝 Committable suggestion
Suggested change
🤖 Prompt for AI Agents |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| const json = await result.json() | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| const data = typeof json.result === "number" ? json.result : { data: [json.result.data[0] || { edges: 0, nodes: 0 }] } | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
There was a problem hiding this comment. Fix data transformation logic The current data transformation is incorrect and inconsistent. The ternary operator creates different data structures based on the type of - const data = typeof json.result === "number" ? json.result : { data: [json.result.data[0] || { edges: 0, nodes: 0 }] }
+ let data;
+ if (typeof json.result === "number") {
+ data = { data: [{ edges: 0, nodes: json.result }] };
+ } else if (json.result?.data?.[0]) {
+ data = { data: [json.result.data[0]] };
+ } else {
+ data = { data: [{ edges: 0, nodes: 0 }] };
+ }This ensures a consistent data structure regardless of the input format, and includes proper validation of nested properties. 📝 Committable suggestion
Suggested change
🤖 Prompt for AI Agents |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| return NextResponse.json({ result: data }, { status: 200 }) | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| } catch (error) { | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| console.log(error) | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| return NextResponse.json({ error: (error as Error).message }, { status: 400 }) | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Original file line number | Diff line number | Diff line change | ||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| @@ -0,0 +1,26 @@ | ||||||||||||||||||||||||||||||||||||||||
| import { getClient } from "@/app/api/auth/[...nextauth]/options" | ||||||||||||||||||||||||||||||||||||||||
| import { NextResponse, NextRequest } from "next/server" | ||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||
| // eslint-disable-next-line import/prefer-default-export | ||||||||||||||||||||||||||||||||||||||||
| export async function PATCH(request: NextRequest, { params }: { params: Promise<{ graph: string }> }) { | ||||||||||||||||||||||||||||||||||||||||
| const session = await getClient() | ||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||
| if (session instanceof NextResponse) { | ||||||||||||||||||||||||||||||||||||||||
| return session | ||||||||||||||||||||||||||||||||||||||||
| } | ||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||
| const { client } = session | ||||||||||||||||||||||||||||||||||||||||
| const { graph: graphId } = await params | ||||||||||||||||||||||||||||||||||||||||
| const sourceName = request.nextUrl.searchParams.get("sourceName") | ||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||
| try { | ||||||||||||||||||||||||||||||||||||||||
| if (!sourceName) throw new Error("Missing parameter sourceName") | ||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||
| const result = await client.selectGraph(sourceName).copy(graphId) | ||||||||||||||||||||||||||||||||||||||||
|
Comment on lines
+16
to
+19
There was a problem hiding this comment. 💡 Verification agent 🧩 Analysis chainConsider adding validation for target graph name The current implementation validates the source graph name but doesn't check if the target graph already exists. This could potentially lead to overwriting an existing graph. 🏁 Script executed: #!/bin/bash
# Check if there's any validation in the client.selectGraph().copy() method
# that prevents overwriting existing graphs
# Find any graph copy implementation in the codebase
rg -A 5 -B 5 "\.copy\(" --type tsLength of output: 1785 Add validation for target graph name to prevent overwriting Ensure you validate the • app/api/graph/[graph]/duplicate/route.tsx (around lines 16–19): Example diff: try {
- if (!sourceName) throw new Error("Missing parameter sourceName")
-
- const result = await client.selectGraph(sourceName).copy(graphId)
+ if (!sourceName) throw new Error("Missing parameter sourceName")
+
+ const graphId = request.nextUrl.searchParams.get("graphId")
+ if (!graphId) throw new Error("Missing parameter graphId")
+
+ // Prevent overwriting an existing graph
+ const exists = await client
+ .selectGraph(graphId)
+ .get()
+ .then(() => true)
+ .catch(err => err.message.includes("NotFound") ? false : Promise.reject(err))
+ if (exists) throw new Error(`Graph "${graphId}" already exists`)
+
+ const result = await client.selectGraph(sourceName).copy(graphId)📝 Committable suggestion
Suggested change
|
||||||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||||||
| return NextResponse.json({ result }) | ||||||||||||||||||||||||||||||||||||||||
| } catch (error) { | ||||||||||||||||||||||||||||||||||||||||
| console.error(error) | ||||||||||||||||||||||||||||||||||||||||
| return NextResponse.json({ error: (error as Error).message }, { status: 400 }) | ||||||||||||||||||||||||||||||||||||||||
| } | ||||||||||||||||||||||||||||||||||||||||
| } | ||||||||||||||||||||||||||||||||||||||||
Uh oh!
There was an error while loading. Please reload this page.