Shlink 5.1.4 Mercure real-time channel: API key role bypass via unrestricted subscription tokens

脆弱性サマリー 脆弱性の概要 タイトル：API キーによる権限境界の迂回 — Mercure サブスクリプション トークンを介して、他方の API キーが作成した短縮リンク（短縮 URL）へのリアルタイムアクセスデータにアクセス可能（#2633） タイプ：認可／アクセス制御の欠陥（REST エンドポイントではロールチェックが正しく実行されているが、Mercure リアルタイムチャネルでは同じロール制限が適用されていない） 核心的問題： REST エンドポイント（ ）は、制限付き API キー（例：「Author only」ロールのキー）が自身で作成していない短縮リンクにアクセスできないことを正しく 404 で応答する。 一方、Mercure サブスクリプション トークンは によって無条件に発行され、キーのロール／ドメイン制限のチェックが行われていないため、制限付きキーであってもグローバルな トピックへのサブスクリプションが許可され、全短縮リンクのアクセスデータ（リファラ、ユーザーエージェント、地理情報、タイムスタンプ等）をリアルタイムで取得できてしまう。 影響範囲 影響を受けるバージョン：Shlink 5.1.4（Docker イメージ、MySQL データベース） 発現条件：Mercure リアルタイム更新を有効化した Shlink インスタンス 影響：制限付きロール（「Author only」「Domain only」など）の API キーが Mercure チャネルを通じて REST 側のロール／ドメイン境界を迂回し、インスタンス全体に存在するすべての短縮リンクのアクセスデータ（PII として：リファラ、ユーザーエージェント、地理情報、日付、visitCount 等）をリアルタイムで読み取ることができる。 重要なコード（POC / 悪用コード） 1. REST エンドポイントでのロールチェック（対照用） 2. Mercure トークンの無条件発行（脆弱性の発生箇所） > 注： は （全トピック）に固定されており、キーのロール／ドメインに基づく絞り込みが行われていない。 3. グローバルトピックへの全短縮リンクのアクセスデータ公開 4. 悪用の手順（POC コマンド） 修正方案 内で、API キーのロール／ドメイン制限に基づき リストを動的に生成する（固定の を使用しない）。 制限付きキーには、アクセス可能な短縮リンクに対応するトピック（例： ）のみをサブスクライブ可能とする（グローバルトピックではなく）。 Mercure サーバー側、または Shlink の公開側でトピック単位のアクセス制御を追加し、リアルタイムチャネルと REST エンドポイントの認可境界が一致するよう確保する。 レグレステスト：制限付きキーが Mercure チャネルを通じて非認可の短縮リンクのアクセスデータを読み取れないことを検証する。

目標達成すべての支援者に感謝 — 100%達成しました！

Shlink 5.1.4 Mercure real-time channel: API key role bypass via unrestricted subscription tokens

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Shlink 5.1.4 Mercure real-time channel: API key role bypass via unrestricted subscription tokens

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！