hhyo/Archery

A账号可以越权查看B账号的查询权限申请记录

Aberta

#2.308 aberto em 28 de set. de 2023

Ver no GitHubGuia do colaborador
 (1 comentário) (0 reação) (0 responsável)Python (1.852 forks)batch import
area/auditenhancementgood first issuehelp wanted

Métricas do repositório

Stars
 (7.016 estrelas)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

重现步骤

1.管理员未给A账号分配可查询权限申请记录 2.A账号不仅可以看到自己申请的查询权限记录，还可以通过修改域名的方式，越权查看B账号的查询权限申请记录

预期外的结果

可以通过修改域名的方式......queryapplydetail/2/ 越权查看B账号的查询权限申请记录. 数字2可以随便改写

日志文本

No response

版本

1.9.1

部署方式

Docker

是否还有其他可以辅助定位问题的信息？比如数据库版本等

No response

Guia do colaborador

Direção de pesquisa
Identifique o manipulador de visão para `/queryapplydetail/<id>` e verifique se ele valida se o usuário solicitante tem permissão para visualizar o registro de aplicação especificado. O bug provavelmente está na falta de verificações de propriedade ou permissão.
Pilha de tecnologia
python
Domain
backendsecurity
Tipo Issue
Bug
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
Meio dia
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Recente
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
PythonWeb Security Basics
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
60