ApostropheCMS: GET /api/v1/@apostrophecms/page/:id elude la restricción viewRole y expone campos protegidos por viewPermission a usuarios con menos privilegios

Resumen

El endpoint REST getOne para páginas no aplica las restricciones a nivel de tipo de viewRole ni la supresión a nivel de campo de viewPermission. Un usuario con rol de editor que conozca un _id de documento puede leer todo el contenido de páginas exclusivas para administradores y sus campos privilegiados, mientras que el endpoint getAll aplica correctamente ambas restricciones.

Detalles

Hallazgo 3 — elusión de viewRole: modules/@apostrophecms/page/index.js expone getRestQuery(req, omitPermissionCheck = false). The getAll path calls publicApiCheckAsync y procesa todo el flujo del constructor de consultas, incluido el filtrado de viewRole. La ruta getOne utiliza una ruta de código divergente que omite este flujo.

Un tipo de página declarado con viewRole: 'admin' es inaccesible a través de GET /api/v1/@apostrophecms/page?type=secretPage (devuelve 403 a un editor), pero es devuelto en su totalidad por GET /api/v1/@apostrophecms/page/:id:en:published al mismo editor.

Hallazgo 4 — fuga de campos bajo viewPermission: Los campos decorados con viewPermission: { action: 'edit', type: '@apostrophecms/page' } son eliminados por removeForbiddenFields en la ruta getAll, pero se devuelven textualmente en getOne. Un editor que conozca cualquier _id de documento puede leer todos los campos restringidos por viewPermission.

PoC

# Log in as editor, get session jar
EDITOR_JAR="..."

# getAll — correctly blocked
curl -b "$EDITOR_JAR" \
  "http://TARGET/api/v1/@apostrophecms/page?type=secretPage"
# → 403 Forbidden

# getOne — bypassed, returns full document including viewPermission fields
curl -b "$EDITOR_JAR" \
  "http://TARGET/api/v1/@apostrophecms/page/ADMIN_PAGE_ID:en:published"
# → 200 OK, full doc including secretField value

Impacto

Los editores pueden leer todo el contenido de cualquier página, incluidas aquellas restringidas a administradores mediante viewRole, siempre que conozcan o puedan adivinar el _id. Los valores de campos sensibles protegidos por viewPermission también quedan totalmente expuestos. Esto anula el modelo de control de acceso al contenido en cualquier sitio que utilice estos decoradores.