Plane GHSA-32g3-mgpc-3mhv Cross-Workspace Member Enumeration Vulnerability Fix

脆弱性概要 脆弱性ID: WEB-7847 脆弱性記述: エンドポイントでは認証が要求されていますが、リクエストを行ったユーザーが照会対象のワークスペースのメンバーであるかが検証されていません。このため、認証済みの Plane ユーザーは、既知または推測されたワークスペースのスラッグを使用して、自分が所属していないワークスペースのメンバーを列挙することができました。 修正ステータス: 修正マージ済み。GHSA-32g3-mgpc-3mhv（中程度の深刻度 - ワークスペース横断的なメンバー列挙）を修正。 影響範囲 影響を受けるエンドポイント: 影響を受けるユーザー: いかなる認証済みの Plane ユーザーも 影響結果: 自分が所属していないワークスペースのメンバーを列挙可能 修正対応 修正ファイル: 修正内容: - メソッドの先頭に チェック（ガード）を追加。 - リクエストを行ったユーザーが対象ワークスペースのアクティブなメンバーでない場合、403 Forbidden を返す。 - EE（Enterprice Edition）版にはすでにこの保護機構（ による）が存在しましたが、今回の修正により OSS（Open Source Software）版と整合性を取りました。 POC コード テスト計画 検証済み: - 認証済みユーザーが をクエリ → 200 OK、結果あり - 認証済みユーザーが をクエリ（自分が所属していないワークスペースの場合） → 403 Forbidden - 未認証のリクエスト → 401 Unauthorized（変更なし、 によって処理される） まとめ セキュリティ/脆弱性修正: - 検索アクセス制御を更新し、適切なワークスペースユーザーの権限認可を要求するようにしました。 - 検索機能はアクティブなワークスペースメンバーのみに限定され、ワークスペースデータへの未承認アクセスを防止するのに役立ちます。

目標達成すべての支援者に感謝 — 100%達成しました！

Plane GHSA-32g3-mgpc-3mhv Cross-Workspace Member Enumeration Vulnerability Fix

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Plane GHSA-32g3-mgpc-3mhv Cross-Workspace Member Enumeration Vulnerability Fix

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！