Security: mailing-list address actions are GET links without CSRF token, and mailing progress needs no login
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 1〜2日
- 初心者へのやさしさ
- 54/100
- issue の種類
- バグ
- 明瞭さ
- 明確に書かれている
- 活発さ
- 活発
- 技術スタック
- php
調査の方向性
Start in system/datatypes/mailinglist.php at the dispatch around lines 118–124 and inspect addressesView(), the three address actions, and mailingProgressAction() around line 1241. Compare the action links and handlers with the command flow that uses makeAction() and the isUser() check. The issue is done when the address actions require a CSRF-protected POST and mailing progress requires login.
索引モデルが issue の本文から書いたものです。
説明
Summary. The address list of a mailing list offers the administrator three actions as plain links with the e-mail address in the query string: …/remind?email=… (sends a confirmation mail again), …/delete?email=… (removes a pending address) and …/unsubscribe_by_admin?email=… (ends a subscription). They are views, handled on GET, without the CSRF token that Hypha's commands carry. A page elsewhere that makes a logged-in administrator open such a link (a top-level navigation is enough; session cookies without SameSite=Strict are sent along) removes or unsubscribes an address or sends a reminder mail on the administrator's behalf.
Separately, the progress endpoint of a mailing (POST …/mails/<id> with command=progress) has no login check: anyone who knows or guesses a mailing id gets the status of that mailing, also of a draft, and the number of confirmed subscribers.
Severity: Low. It needs a logged-in administrator and knowledge of the address; it changes subscriptions but exposes no personal data. The subscriber count is minor.
Affected code (main, d97ab7b), system/datatypes/mailinglist.php: the dispatch at lines 118-122, remindAction(), deleteAddressAction(), unsubscribeByAdminAction(); the links built in addressesView(); mailingProgressAction() (line 1241).
Suggested fix. Turn the three actions into commands posted with the form's CSRF token (makeAction(…, 'remind', $email), handled as [PATH_ADDRESSES, 'remind'] etc.), and add the isUser() check to mailingProgressAction(). Related: #420 (a failed CSRF check does not stop datatype commands).
- 主要言語
- JavaScript
- スター
- 5
- フォーク
- 9
- 平均マージ
- 19時間 10分
- マージ済み PR（30日）
- 12
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
PlanBCode/hypha のほかの issue
-
Component: User interface Impact: Low Level: Easy Pagetype: Peer reviewed article Type: Bug Value: Visitors
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
メンテナーはふだん 1 日以内に返信
-
Impact: Medium Level: Easy Type: Bug Value: Users
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
メンテナーはふだん 1 日以内に返信
-
Impact: Low Level: Easy Pagetype: Festival Type: Bug Value: Coders
難易度 1/5 1時間未満 初心者へのやさしさ 82/100
メンテナーはふだん 1 日以内に返信
-
Impact: Medium Level: Easy Pagetype: Mailinglist Type: Bug Value: Users
難易度 2/5 1〜3時間 初心者へのやさしさ 79/100
メンテナーはふだん 1 日以内に返信
-
Impact: Low Level: Easy Type: Bug Value: Coders
難易度 1/5 1〜3時間 初心者へのやさしさ 85/100
PlanBCode/hypha#586 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
PlanBCode/hypha の issue をすべて見る
似ている issue
-
難易度 1/5 1時間未満 初心者へのやさしさ 92/100
danilogiles/enki-browser#113 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
メンテナーはふだん 1 日以内に返信
-
ux
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
evcc-io/evcc#35605 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
bug triage
難易度 2/5 1〜3時間 初心者へのやさしさ 74/100
メンテナーはふだん 1 日以内に返信
-
難易度 1/5 1時間未満 初心者へのやさしさ 95/100
weavefox/awesome-opc#29 ·
メンテナーはふだん 1 日以内に返信