hhyo/Archery

A账号可以越权查看B账号的查询权限申请记录

Ouverte

#2 308 ouverte le 28 sept. 2023

Voir sur GitHubGuide contributeur
 (1 commentaire) (0 réaction) (0 personne assignée)Python (1 853 forks)batch import
area/auditenhancementgood first issuehelp wanted

Métriques du dépôt

Stars
 (7 016 étoiles)
Métriques de merge PR
 (Merge moyen 12j 20h) (11 PRs mergées en 30 j)

Description

重现步骤

1.管理员未给A账号分配可查询权限申请记录 2.A账号不仅可以看到自己申请的查询权限记录，还可以通过修改域名的方式，越权查看B账号的查询权限申请记录

预期外的结果

可以通过修改域名的方式......queryapplydetail/2/ 越权查看B账号的查询权限申请记录. 数字2可以随便改写

日志文本

No response

版本

1.9.1

部署方式

Docker

是否还有其他可以辅助定位问题的信息？比如数据库版本等

No response

Guide contributeur

Direction de recherche
Identifiez le gestionnaire de vue pour `/queryapplydetail/<id>` et vérifiez s'il valide que l'utilisateur demandeur a la permission de visualiser l'enregistrement de demande spécifié. Le bug réside probablement dans l'absence de vérifications de propriété ou d'autorisation.
Stack technique
python
Domaine
backendsecurity
Type d'issue
Bug
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Récente
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
PythonWeb Security Basics
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
60