nextcrm-app v0.12.0 BOLA/IDOR及权限控制漏洞修复

漏洞概述 该网页截图展示了一个名为 的项目的发布页面，具体为版本 。此版本主要包含了一系列功能更新和漏洞修复。 影响范围 功能更新：新增了多个与账户、联系人、机会、合同等实体的读写权限控制功能，以及报告、仪表板、项目等模块的权限管理。 漏洞修复：修复了多个与安全相关的漏洞，包括权限控制、数据访问控制、身份验证等方面的问题。 修复方案 功能更新 authz： - 添加了账户读写权限助手。 - 添加了账户写权限断言助手。 - 添加了账户/联系人/机会/合同过滤助手。 - 添加了活动实体权限调度助手。 - 添加了 和 谓词。 - 添加了桶导出功能。 - 添加了板和工作读写权限助手。 - 添加了批量ID授权过滤器。 - 添加了活动和模板读写权限助手。 - 添加了规范 AppRole 类型和遗留角色映射器。 - 添加了文档读写权限助手。 - 添加了丰富取消权限助手。 - 添加了联系人/机会/合同/合同读写权限助手。 - 添加了联系人/机会/合同/合同读写权限助手。 - 添加了报告数据过滤的 ReportScope 构建器。 - 添加了 、 、 。 - 添加了路由响应助手。 - 添加了联系人和目标更新助手。 - 添加了联系人和目标列表读写权限助手。 - 添加了 UI/Action 调用者到规范角色名称的映射。 - 添加了用户角色到 Prisma enum AppRole 的切换。 - 添加了验证用户角色与规范 AppRole 的功能。 db： - 添加了规范角色（管理员/经理/用户）和同步 。 reports： - 添加了按类别函数接受 ReportScope 以过滤数据。 security： - 添加了权限驱动授权迁移（阶段 A - F1）。 漏洞修复 account-products： - 要求账户读权限以获取账户产品。 - 要求账户写权限以分配突变。 admin： - 要求管理员角色以激活/停用用户。 - 要求管理员角色以 CRM 设置服务器操作。 - 要求管理员角色以货币服务器操作。 api： - 要求联系人批量填充 ID 的用户角色。 - 要求联系人批量填充 ID 的用户角色。 - 要求联系人写权限以丰富 POST/DELETE。 - 要求发票读权限以 PDF 路由。 - 要求父目标写权限以目标联系人创建。 - 要求目标写权限以目标联系人丰富。 - 要求目标写权限以丰富 POST/DELETE。 - 要求目标写权限以目标丰富。 - 要求报告/导出角色：门用户目录角色。 - 要求联系人 PATCH 关闭 BOLA/IDOR。 - 要求目标 PATCH 关闭 BOLA/IDOR。 - 对齐 auth 客户端角色与重命名的 manager/user。 - 从 accountUserScopeOfFor Prisma 兼容中删除只读元组。 - 包括 deletedAt:null 在目标读权限中。 - 用 requireRole 替换 is_admin 检查。 - 使用小写 prisma 文档访问器。 campaign-templates： - 按角色和所有权限制模板读写权限。 campaigns： - 在创建/更新/删除/暂停之前缩小创建 Campaign 结果。 - 要求管理员角色以调度/发送。 - 按角色限制 Campaign 读权限。 crm： - 要求账户读权限以 getAccountById。 - 要求实体范围读权限以活动馈送。 - 按用户/经理/管理员角色限制账户列表。 - 按用户/经理/管理员角色限制账户搜索。 - 按实体和规范化审计日志到规范助手。 - 按角色和链接账户/机会访问限制联系人读权限。 - 按角色和链接账户访问限制合同读权限。 - 按角色和链接账户访问限制机会读权限。 - 按角色限制机会读权限。 - 按用户/经理/管理员角色限制机会相似性结果。 - 按角色限制剩余机会读权限。 - 按角色限制目标和目标列表读权限。 documents： - 按用户角色限制文档操作。 - 要求文档所有权/账户读权限以文档突变。 - 按角色和链接实体访问限制文档读权限。 invoices： - 要求账户读权限以获取发票。 - 要求账户写权限以创建和重新分配。 - 要求源和写权限以重复发票。 migration： - 在添加新 FK 约束之前清理孤儿创建者 FK。 products： - 要求产品读权限以产品读权限。 - 要求管理员角色以产品突变。 projects： - 要求板读写权限以板突变。 - 要求父板写权限以部分突变。 - 按板访问限制项目读权限。 - 按严格/软限制任务突变。 reports： - 门用户目录角色在经理/管理员之后。 - 按角色和所有权限制配置和调度读写权限。 - 按角色限制仪表板任务计数和统一搜索。 - 按调度所有者角色限制调度报告数据。 security： - 管理员服务器操作锁定。 - authz 清理：删除 is_admin，角色枚举。 - 关闭丰富 BOLA/IDOR。 - 关闭 GHSA-mg2f-mi9f-4gmc + 权限驱动授权发现。 - 关闭发票 IDOR。 - 按角色限制 CRM 账户读权限。 - 按用户 authz 读权限限制 CRM 账户列表。 - 按角色限制 CRM 账户列表。 - 按角色限制 CRM 联系人/机会/合同读权限。 - 按角色限制文档 + 批量操作。 - 按角色限制产品 + 账户产品 + 发票。 - 按角色限制项目（板/部分/任务）。 - 按角色限制报告 + 仪表板 + 统一搜索。 - 按角色限制目标、活动、审计日志、相似性。 tests： - 合并重复 prisma 文档模拟键。 POC 代码或利用代码 页面中未包含 POC 代码或利用代码。 总结 该版本 主要关注于增强权限控制和修复多个安全漏洞，确保系统的安全性和稳定性。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

nextcrm-app v0.12.0 BOLA/IDOR及权限控制漏洞修复

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

nextcrm-app v0.12.0 BOLA/IDOR及权限控制漏洞修复

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！