ApostropheCMS: Brak uwierzytelnienia w trasie `cleanExport`

1. Podsumowanie

Punkt końcowy API POST /api/v1/@apostrophecms/import-export/clean-export w @apostrophecms/import-export nie posiada weryfikacji uwierzytelnienia ani autoryzacji. Dowolny klient — w tym nieuwierzytelnieni anonimowi użytkownicy, którzy uzyskali standardowy plik cookie CSRF po odwiedzeniu witryny — może bezpośrednio wywołać tę trasę i uruchomić bazową metodę self.cleanExport(req).

2. Pliki i punkty końcowe, których dotyczy problem

• Punkt końcowy: POST /api/v1/@apostrophecms/import-export/clean-export
• Definicja trasy: packages/import-export/lib/apiRoutes.js (linie 32–34)
• Implementacja metody: packages/import-export/lib/methods/import.js (linie 1271–1324)

3. Analiza przyczyny źródłowej

W packages/import-export/lib/apiRoutes.js procedura obsługi get.related jawnie weryfikuje, czy wywołujący jest zalogowany:

get: {
  async related(req) {
    if (!req.user) {
      throw self.apos.error('forbidden');
    }
    // ...
  }
}

W przeciwieństwie do tego, post.cleanExport (jak również post.overrideDuplicates) nie zawiera żadnej weryfikacji req.user:

post: {
  async overrideDuplicates(req) {
    return self.overrideDuplicates(req);
  },

  async cleanExport(req) {
    return self.cleanExport(req); // <-- No authentication check
  }
}

Ponieważ ApostropheCMS nie wymusza uwierzytelnienia globalnie na wszystkich apiRoutes, pominięcie jawnego zabezpieczenia if (!req.user) pozwala anonimowym żądaniom przejść bezpośrednio do warstwy logiki biznesowej.

4. Dowód podatności

Podczas wysyłania nieuwierzytelnionego żądania POST ze standardowym plikiem cookie CSRF witryny (wydawanym każdemu odwiedzającemu na GET /), żądanie całkowicie omija kontrolę dostępu i wykonuje self.cleanExport(req), na co wskazuje ślad stosu serwera:

at Object.cleanExport (.../packages/import-export/lib/methods/import.js)
at .../packages/apostrophe/modules/@apostrophecms/module/index.js:193:30

Potwierdza to, że wykonanie bezpośrednio dociera do głównego modułu importu/eksportu bez uwierzytelnionej sesji.

5. Wpływ

1. Naruszenie kontroli dostępu: Nieuwierzytelnieni użytkownicy mogą wywoływać operacje czyszczenia oraz usuwać tymczasowe pliki i artefakty eksportu przechowywane na serwerze.
2. Nieautoryzowana zmiana stanu: Punkt końcowy umożliwia modyfikację rekordów zadań w bazie danych za pośrednictwem req.body.jobId (wymuszając ich stan na ended: true, status: 'completed') oraz odrzucanie powiadomień przez req.body.notificationId bez weryfikacji, czy zasoby należą do wnioskującego użytkownika.

6. Sugerowane rozwiązanie (łatka)

Wymuś sprawdzanie uwierzytelnienia w packages/import-export/lib/apiRoutes.js przed wykonaniem bazowych metod:

--- a/packages/import-export/lib/apiRoutes.js
+++ b/packages/import-export/lib/apiRoutes.js
@@ -26,10 +26,16 @@ module.exports = self => {
     get: { ... },
     post: {
       async overrideDuplicates(req) {
+        if (!req.user) {
+          throw self.apos.error('forbidden');
+        }
         return self.overrideDuplicates(req);
       },
 
       async cleanExport(req) {
+        if (!req.user) {
+          throw self.apos.error('forbidden');
+        }
         return self.cleanExport(req);
       }
     }