BookStack v26.09.2 Security Advisory: Fixes for Unauth Modification and Data Leakage

BookStack Security Release v26.09.2 漏洞总结 漏洞概述 BookStack 发布了安全更新版本 v26.09.2，修复了以下两个关键安全问题： 1. 页面内容可被未授权修改 - 问题：某些情况下，即使页面处于“锁定”状态，其内容仍可能被修改。 - 风险：可能导致数据完整性受损或恶意篡改。 2. 敏感信息泄露风险 - 问题：在特定条件下，用户可能访问到本应受保护的内容（如未授权页面）。 - 风险：可能导致敏感数据暴露。 > 注：该更新还包含其他安全改进，但上述两项为本次发布重点。 --- 影响范围 受影响版本：v26.09.2 之前的所有版本（即 v26.09.1 及更早版本）。 影响组件： - 页面编辑与权限控制模块 - 页面访问控制逻辑 - 可能涉及 WYSIWYG 编辑器相关功能（如 Seneca Polytechnics 报告部分） --- 修复方案 官方修复：升级至 BookStack v26.09.2 或更高版本。 临时缓解措施（如无法立即升级）： - 严格审查并限制用户权限，避免非授权用户访问敏感页面。 - 启用并配置服务器级访问控制（如 .htaccess、Nginx 规则等）以阻止未授权请求。 - 定期审计页面内容和访问日志，检测异常修改行为。 --- POC / 利用代码 ✅ 页面中未提供任何 POC 代码或利用代码。 --- 附加信息 发布日期：2024年9月26日 报告者： - Ryan De (Sofia, London) - Niall (Ireland) - Seneca Polytechnics（WYSIWYG 应用部分） - Ryan De（其他部分） 变更日志： - 移除对未授权用户的 cookie 设置 - 修复页面内容被意外修改的问题 - 修复页面访问控制漏洞 - 修复页面内容被意外暴露的问题 - 修复页面内容被意外修改的问题 --- 建议操作 1. 立即升级至 v26.09.2。 2. 检查现有页面是否已被篡改。 3. 审查用户权限配置，确保最小权限原则。 4. 订阅 BookStack 安全公告以获取未来更新。 > 官方链接：https://www.bookstackapp.com/security/

目標達成 すべての支援者に感謝 — 100%達成しました！

BookStack v26.09.2 Security Advisory: Fixes for Unauth Modification and Data Leakage

目標達成すべての支援者に感謝 — 100%達成しました！