Strapi Admin API Token Bypass: Full Field Read Access Persists After Role Restriction

Strapi管理用APIトークンは、所有者のロールがフィールド単位で制限された後も、全フィールドの読み取りアクセスを保持する 脆弱性の概要 Strapiの管理用APIトークンは、所有者のロールが特定のフィールドに制限された後でも、すべてのフィールドに対する読み取り権限を保持し続けます。管理者がロールのアクセス範囲を「全フィールド」から制限されたフィールドセットに縮小した場合、Strapiは当該ユーザーが所有する各管理用トークンを再調整（リコンシリエーション）します。この再調整処理は、トークン権限の プロパティの値が定義され、非空かつnullではない場合にのみチェックを行います。トークン作成時点で の制限が設定されていなかった場合（つまり「全フィールド」を意味）、この制限超過状態が検出されず、トークンは取消しされず、また制限も適用されません。その結果、トークンは、所有者の更新されたロールではアクセスが許可されていないフィールドを、Content Manager APIを介して直接返し続けます。 影響範囲 影響シナリオ： - 制限前に存在するトークン（脆弱）：ロール制限より前に作成されたトークンは、その権限とフィールド設定が維持されたままです。 - 制限後に作成されたトークン（安全）：ロールがすでに制限されている状態で作成されたトークンは、狭窄された制限を引き継ぎ、影響を受けません。 - 明示的なフィールドリストを持つトークン（安全）：新しい制限を超えるフィールドが明示的にリストアップされたトークンは、適切に取消されます。 修正方針 短期対応：省略、null、または空のトークン を、制限比較において「全フィールド」として扱い、 と同じように振る舞わせるべきです。所有者の権限が制限され、かつトークンが全フィールドを要求している場合、そのトークンを制限超過としてマークします。 中期対応：トークン権限全体を削除するのではなく、その を所有者の現在の に制限し、トークンがアクセス権を維持したまま、削除されたフィールドのみを失うようにします。 ディフェンス・イン・ディプス： において、トークンの権限能力と、リクエスト時点での所有者の実時間権限との共通部分を計算（インターセクション）します。これにより、再調整の過程で、自身でトークン作成時の寛容化を許容できないトークンの見落としを防ぎます。回帰テストを追加し、 が省略されているトークンが、後に所有者が特定のフィールドに制限された場合でも取消されないことを確認します。これは既存の「明示的-制限超過」テストパターンに基づきます。 POCコード 参考リンク レビュー済みコミット時点の脆弱なソース ReconcileTokenPermissionsToUserCeiling 同一コミット時点の関連コードパス

目標達成すべての支援者に感謝 — 100%達成しました！

Strapi Admin API Token Bypass: Full Field Read Access Persists After Role Restriction

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Strapi Admin API Token Bypass: Full Field Read Access Persists After Role Restriction

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！