Phase Console GraphQL Missing Authorization Bypass for Secret History

脆弱性の概要 脆弱性名: Phase ConsoleにおけるGraphQL の認証回避 脆弱性説明: この脆弱性は、Phase ConsoleのGraphQL フィールドに存在します。このフィールドは、呼び出し元に対象環境の が付与されているか否かのみをチェックしており、 または 権限の強制実行を行っていません。 これは、あるシークレットのログ読み取り権限が拒否されている低権限の組織メンバーであっても、既知のシークレットIDに対して履歴をクエリすることで、暗号鍵、値、コメント、パス、タグ、タイムスタンプ、メタデータを含むそのシークレットの完全な履歴を取得できることを意味します。 パーサーは呼び出し元のラップ済み環境キーを返す際に 権限をチェックしないため、標準的なクライアント側復号処理は正常に機能します。 影響範囲 影響を受けるバージョン: v2.77.3。コミット （2026-10-09）で検証済み。 影響: 認証済み組織メンバーは、シークレットログへのアクセスが明示的に拒否されている場合であっても、履歴シークレットレコード（名前、値、コメント、パス、バージョン、タイムスタンプ、タグ、メタデータ）を取得できます。また、GraphQLフィールドを通じて権限境界を回避し、環境に割り当てられたキーを使用して暗号文を復号できます。 制限: この脆弱性は未認証アクセスを付与するものではなく、シークレットを変更するものでもなく、環境キーに対する暗号化要件を迂回するものでもありません。攻撃者は、環境アクセス権限を持ち、対象となる を知っている認証済み組織メンバーでなければなりません。 修復方法 即時対応: パーサーに通常の パーサーと同じ境界を適用し、履歴を返す前に （および ）権限を要求するようにします。 短期対応: 履歴が監査ログ権限によって管理されることを意図している場合、一貫して を要求します。また、各 メタデータクエリに対する環境キーの要件を記録し、適用します。 長期的対応: 拒否される役割と許可される役割の両方に対して回帰テストを追加します。 具体的なコード修正: において、単に環境キーの所有権を確認するだけでなく、 および 権限を強制実行します。 POCコード 参考リンク プロジェクト: phasehq/console ソースコードレビュー: - backend/backend/schema.py - backend/backend/graphene/types.py - backend/api/utils/access/permissions.py 弱点: CWE-862 Missing Authorization 推奨CVSS 3.3スコア: 6.5 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N) 報告者 報告者: Hiếu Nguyễn 報告日: 2026-10-13

目標達成すべての支援者に感謝 — 100%達成しました！

Phase Console GraphQL Missing Authorization Bypass for Secret History

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Phase Console GraphQL Missing Authorization Bypass for Secret History

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！