hhyo/Archery

A账号可以越权查看B账号的查询权限申请记录

Aperta

#2308 aperta il 28 set 2023

Vedi su GitHubGuida contributor
 (1 commento) (0 reazioni) (0 assegnatari)Python (1851 fork)batch import
area/auditenhancementgood first issuehelp wanted

Metriche repository

Star
 (7005 stelle)
Metriche merge PR
 (Merge medio 12g 20h) (11 PR mergiate in 30 g)

Descrizione

重现步骤

1.管理员未给A账号分配可查询权限申请记录 2.A账号不仅可以看到自己申请的查询权限记录，还可以通过修改域名的方式，越权查看B账号的查询权限申请记录

预期外的结果

可以通过修改域名的方式......queryapplydetail/2/ 越权查看B账号的查询权限申请记录. 数字2可以随便改写

日志文本

No response

版本

1.9.1

部署方式

Docker

是否还有其他可以辅助定位问题的信息？比如数据库版本等

No response

Guida contributor

Direzione di ricerca
Identifica il gestore della vista per `/queryapplydetail/<id>` e verifica se controlla che l'utente richiedente abbia il permesso di visualizzare il record di applicazione specificato. Il bug probabilmente risiede nella mancanza di controlli di proprietà o autorizzazione.
Tech stack
python
Dominio
backendsecurity
Tipo issue
Bug
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
Mezza giornata
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Nuova
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
PythonWeb Security Basics
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
60