PhotoPrism Insecure Direct Object Reference (IDOR) Fix in User Profile API Endpoint

漏洞概述 标题: API: Reinforce user profile authorization checks #5619 状态: 已关闭 (Closed) 标签: api, security, tested 描述: 作为 PhotoPrism 管理员，希望加强用户个人资料端点的授权检查，以防止非管理员账户持有者（已登录）修改其他用户的信息。 影响范围 影响: 影响有限，因为受影响的个人资料字段当前在 UI 中不可见。此外，管理员可见的审计日志记录每个操作基于用户的用户名和 UID，而不是显示名称。主要影响是受影响的账户可能看到（并撤销）他们下次查看个人资料时的更改。尽管严重程度被认为较低，但在此类情况下，端点仍需加固。 特权字段: 特权字段（Role, SuperAdmin, CanLogin, WebDAV, Provider, 和 Attr）完全受到 和 检查的保护，因此无法进行权限提升或会话接管。 修复方案 建议的加固措施: - 请求处理程序 应在 返回后立即执行所有权比较，在任何用户查找、表单绑定或突变（mutation）之前，模仿类似端点的模式。 - 代码示例： - 由于所有权检查发生在用户查找之前，它返回“403 Forbidden”而不是“404 Not Found”用于外部 UID。这是为了防止账户的存在被泄露给非所有者。 验收标准: - 处理程序必须拒绝会话用户的 UID 与路径 UID 不匹配的请求，除非会话角色通过 。 - 所有权检查必须在用户查找、表单绑定或任何持久化调用之前进行。 - 端点必须对两个外部 UID 和未知 UID 的请求返回 403 Forbidden 错误，提交非管理员会话，以防止账户存在泄露。 - 特权字段门控在 中必须保持以防止非管理员用户提升权限。 其他信息 参与者: graciouslygrey, omerduran 项目: Roadmap 状态: 已完成

目標達成すべての支援者に感謝 — 100%達成しました！

PhotoPrism Insecure Direct Object Reference (IDOR) Fix in User Profile API Endpoint

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

PhotoPrism Insecure Direct Object Reference (IDOR) Fix in User Profile API Endpoint

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！