AureusERP 1.6.0 Broken Access Control in Customer Blog Module Allows Unauthorized Access to Draft Posts

脆弱性概要 タイトル: AureusERP 1.6.0: 顧客ブログモジュールにおける認可の回避 - ドラフト投稿への認証なしアクセス 説明: AureusERP 1.6.0 の顧客ブログモジュールにアクセス制御の脆弱性が存在します。これにより、権限のないユーザー（匿名のインターネット利用者を含まむ）が、管理者によって公開されていない（ドラフトに移動された）ブログ投稿の全文を参照することができます。 影響を受けるコンポーネント: 根本原因: 1. 顧客リソースでの認可がグローバルに無効化: における の設定により、 のチェックがスキップされます。 2. ViewPost ページでの公開範囲の適用漏れ: で のフィルタリングを行っていないため、ドラフトを含むすべての投稿にアクセス可能です。 3. ビューテンプレートでのレコード全フィールドのレンダリング: がタイトル、内容、著者、公開日など、すべてのフィールドをレンダリングしています。 影響範囲 公開されていないブログ投稿（ドラフト）は、認証なしで直接 URL からアクセス可能になります。 投稿内容（機密情報を含む）が公開アクセスされる可能性があり、データのプライバシーと整合性に影響を与えます。 修正策 即時修正（一行コード） でレコードの解決処理をオーバーライドし、公開範囲を強制します： 深層防御修正 1. 顧客リソースでの認可を再有効化する: 2. ポリシーを更新し、管理者以外の閲覧者に対して公開状態を強制する: 3. Post モデルにグローバルクエリスコープを追加し、将来のコードパスにおける制約の漏れを防ぐ: 4. 非公開時のスラッグのローテーション（オプション）— が から に変更された際にランダムな接尾辞を追加し、過去のリンクを無効化する。 5. 監視の追加 — の投稿に対する 200 OK レスポンスをすべてログ記録し、異常なアクセスパターンが発生した場合にアラートを発出する。 6. 未公開コンテンツに を追加 — ページが誤って提供された場合でも、インデックスされないようにする: 参考 OWASP Top 10 - A01:2021 アクセス制御 CWE-284: 不適切なアクセス制御 CWE-639: ユーザー制御可能なキーによる認可の回避 Filament ドキュメント - リソースの認可: https://filamentphp.com/docs/4.x/panels/resources#authorization Filament ドキュメント - : https://filamentphp.com/docs/4.x/panels/resources#skipping-authorization

目標達成すべての支援者に感謝 — 100%達成しました！

AureusERP 1.6.0 Broken Access Control in Customer Blog Module Allows Unauthorized Access to Draft Posts

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

AureusERP 1.6.0 Broken Access Control in Customer Blog Module Allows Unauthorized Access to Draft Posts

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！