snakeia-server 1.1.4 → 1.1.5

package/README.md

@@ -8,7 +8,7 @@ A server for my [SnakeIA](https://github.com/Eliastik/snakeia) game, written in
 
 ## About this server
 
-* Version 1.1.4 (11/23/2024)
+* Version 1.1.5 (6/18/2025)
 * Made in France by Eliastik - [eliastiksofts.com](http://eliastiksofts.com) - Contact : [eliastiksofts.com/contact](http://eliastiksofts.com/contact)
 * License: GNU GPLv3 (see LICENCE.txt file)
 
@@ -74,7 +74,7 @@ You can create another configuration file in the **config** directory named **lo
 ````
 {
     "ServerConfig": {
-        "version": "1.1.4", // The server version
+        "version": "1.1.5", // The server version
         "port": 3000, // The port where the server runs
         "proxyMode": false, // Sets this value to true if your server is behind a proxy - defaults to false
         "numberOfProxies": 1, // Sets the number of reverse proxies in front of the server. Default to 1. See: https://expressjs.com/en/guide/behind-proxies.html / https://express-rate-limit.mintlify.app/guides/troubleshooting-proxy-issues
@@ -120,6 +120,15 @@ You can create another configuration file in the **config** directory named **lo
 
 ## Changelog
 
+* Version 1.1.5 (6/18/2025):
+    - Fixed "Error: invalid CSRF token" occurring during certain actions in the administrator panel
+
+* Version 1.1.4.2 (6/18/2025):
+    - Updated dependencies
+
+* Version 1.1.4.1 (1/1/2025):
+    - Updated dependencies
+
 * Version 1.1.4 (11/23/2024):
     - Switched to csrf-csrf library instead of csurf (no longer maintained) for CSRF protection
     - Added "numberOfProxies" parameter (default 1) to server configuration file
@@ -179,7 +188,7 @@ Un serveur pour mon jeu [SnakeIA](https://github.com/Eliastik/snakeia), écrit e
 
 ## À propos de ce serveur
 
-* Version 1.1.4 (23/11/2024)
+* Version 1.1.5 (18/06/2025)
 * Made in France by Eliastik - [eliastiksofts.com](http://eliastiksofts.com) - Contact : [eliastiksofts.com/contact](http://eliastiksofts.com/contact)
 * Licence : GNU GPLv3 (voir le fichier LICENCE.txt)
 
@@ -245,7 +254,7 @@ Vous pouvez créer un fichier de configuration **local.json** dans le dossier **
 ````
 {
     "ServerConfig": {
-        "version": "1.1.4", // La version du serveur
+        "version": "1.1.5", // La version du serveur
         "port": 3000, // Le port sur lequel lancer le server
         "proxyMode": false, // Mettez à true si votre serveur est derrière un proxy - par défaut false
         "numberOfProxies": 1, // Configure le nombre de proxies devant votre serveur. Par défaut 1. Voir : https://expressjs.com/en/guide/behind-proxies.html / https://express-rate-limit.mintlify.app/guides/troubleshooting-proxy-issues
@@ -291,6 +300,15 @@ Vous pouvez créer un fichier de configuration **local.json** dans le dossier **
 
 ## Journal des changements
 
+* Version 1.1.5 (18/06/2025) :
+    - Correction de l’erreur "Error: invalid CSRF token" lors de certaines actions dans le panneau d’administration
+
+* Version 1.1.4.2 (18/06/2025) :
+    - Mise à jour des dépendences
+
+* Version 1.1.4.1 (1/1/2025) :
+    - Mise à jour des dépendences
+
 * Version 1.1.4 (23/11/2024) :
     - Passage à la bibliothèque logicielle csrf-csrf au lieu de csurf (qui n'était plus maintenue) pour la protection CSRF
     - Ajout du paramètre "numberOfProxies" (par défaut à 1) dans le fichier de configuration du serveur
@@ -353,7 +371,7 @@ Vous pouvez créer un fichier de configuration **local.json** dans le dossier **
 
 ## Déclaration de licence
 
-Copyright (C) 2020-2024 Eliastik (eliastiksofts.com)
+Copyright (C) 2020-2025 Eliastik (eliastiksofts.com)
 
 Ce programme est un logiciel libre ; vous pouvez le redistribuer ou le modifier suivant les termes de la GNU General Public License telle que publiée par la Free Software Foundation ; soit la version 3 de la licence, soit (à votre gré) toute version ultérieure.
 
@@ -363,7 +381,7 @@ Vous devez avoir reçu une copie de la GNU General Public License en même temps
 
 ----
 
-Copyright (C) 2020-2024 Eliastik (eliastiksofts.com)
+Copyright (C) 2020-2025 Eliastik (eliastiksofts.com)
 
 This program is free software: you can redistribute it and/or modify it under the terms of the GNU General Public License as published by the Free Software Foundation, either version 3 of the License, or (at your option) any later version.
 

package/config/default.json

@@ -1,6 +1,6 @@
 {
     "ServerConfig": {
-        "version": "1.1.4",
+        "version": "1.1.5",
         "port": 3000,
         "proxyMode": false,
         "numberOfProxies": 1,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "snakeia-server",
-  "version": "1.1.4",
+  "version": "1.1.5",
   "description": "Server for multiplaying in SnakeIA (https://github.com/Eliastik/snakeia)",
   "main": "server.js",
   "scripts": {
@@ -18,14 +18,14 @@
   },
   "homepage": "https://github.com/Eliastik/snakeia-server#readme",
   "dependencies": {
-    "body-parser": "^1.20.3",
-    "config": "^3.3.12",
+    "body-parser": "^2.2.0",
+    "config": "^4.0.0",
     "cookie-parser": "^1.4.7",
-    "csrf-csrf": "^3.0.8",
+    "csrf-csrf": "^4.0.3",
     "ejs": "^3.1.10",
-    "express": "^4.21.1",
-    "express-rate-limit": "^7.4.1",
-    "html-entities": "^2.5.2",
+    "express": "^5.1.0",
+    "express-rate-limit": "^7.5.0",
+    "html-entities": "^2.6.0",
     "i18n": "^0.15.1",
     "jsonwebtoken": "^9.0.2",
     "node-fetch": "^3.3.2",

package/server.js

@@ -96,6 +96,7 @@ i18n.configure({
 
 // Game modules
 const snakeia        = require("snakeia");
+const { randomUUID } = require("crypto");
 const Snake          = snakeia.Snake;
 const Grid           = snakeia.Grid;
 const GameConstants  = snakeia.GameConstants;
@@ -908,7 +909,8 @@ app.use(i18n.init);
 // Rate limiter
 app.use("/authentication", rateLimit({
   windowMs: config.authentWindowMs,
-  max: config.authentMaxRequest
+  max: config.authentMaxRequest,
+  validate: { trustProxy: false }
 }));
 
 // IP ban
@@ -1168,8 +1170,16 @@ function verifyFormAuthenticationAdmin(body) {
 }
 
 const csrfSecret = generateRandomJsonWebTokenSecretKey(jsonWebTokenSecretKeyAdmin);
-const { doubleCsrfProtection, generateToken } = doubleCsrf({
+const { doubleCsrfProtection, generateCsrfToken } = doubleCsrf({
   getSecret: () => csrfSecret,
+  getSessionIdentifier: (req) => req.cookies.tokenAdmin || randomUUID(),
+  getCsrfTokenFromRequest: (req) => {
+    return (
+      req.headers["x-csrf-token"] ||
+      req.body?._csrf ||
+      req.query?._csrf
+    );
+  },
   cookieName: productionMode ? "__Host-snakeia-server.x-csrf-token" : "snakeia-server.x-csrf-token",
   cookieOptions: {
     sameSite: productionMode ? "strict" : "lax",
@@ -1206,7 +1216,7 @@ app.get("/admin", doubleCsrfProtection, function(req, res) {
             games: games,
             io: io,
             config: config,
-            csrfToken: generateToken(req, res, true),
+            csrfToken: generateCsrfToken(req, res, { overwrite: true, validateOnReuse: true }),
             serverLog: logFile,
             errorLog: errorLogFile,
             getIPSocketIO: getIPSocketIO
@@ -1311,7 +1321,8 @@ app.use(function (err, req, res, next) {
 
 const adminRateLimiter = rateLimit({
   windowMs: config.authentWindowMs,
-  max: config.authentMaxRequest
+  max: config.authentMaxRequest,
+  validate: { trustProxy: false }
 });
 
 app.post("/admin", adminRateLimiter, function(req, res) {