ApostropheCMS: API importu omija role publikacji dla chronionych treści

Zakres weryfikacji i ograniczenia dowodowe

Pakiet: @apostrophecms/import-export, wersja 3.7.0.

Zweryfikowany tag wydania: @apostrophecms/import-export@3.7.0, commit 9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce (wrzesień 30, 2026).

Zweryfikowany bieżący stan gałęzi main: 5ce3732be0ebdebb4db0f8ef160c81e8671157e6.

Mechanizm importu, ekstraktor gzip, bramka uprawnień importu oraz implementacja uprawnień rdzenia nie wykazują różnic między tym tagiem wydania a zweryfikowaną gałęzią main. Niniejsza analiza stanowi statyczny przegląd działań naprawczych. Nie powtórzono oryginalnych procedur odtworzenia problemu (end-to-end) na najnowszym wydaniu ani nie testowano wdrożonego serwisu. Podatność na exploitację oraz rzeczywisty wpływ wymagają weryfikacji przez opiekunów projektu; poniższe obserwacje potwierdzają, że zgłoszone mechanizmy kontroli bezpieczeństwa nadal nie występują w publicznym kodzie źródłowym. Oryginalny plik PDF przesłany drogą mailową zawiera oryginalne materiały służące do reprodukcji.

Interfejs API importu omija role publikacji dla chronionych treści

Bramka importu w canImportOrExport() weryfikuje konfigurację importu danego typu oraz uprawnienie do wyświetlania. Następnie funkcje pomocnicze zapisu wywołują bezpośrednio metody insert/update menedżera dokumentów, w tym operacje na wariantach opublikowanych. W tych funkcjach pomocniczych nie stwierdzono standardowej kontroli uprawnień do publikacji ani przejścia beforePublish. Uprawnienia bazowe celowo rozróżniają editRole oraz publishRole, a standardowy cykl życia publikacji egzekwuje to rozróżnienie.

Zgłoszona granica bezpieczeństwa dotyczy typu treści, który edytor może modyfikować, ale którego publikacja jest zastrzeżona dla wyższej roli. Bezpośrednie modyfikacje stanu publicznego za pośrednictwem importu muszą wymagać takich samych uprawnień publikacyjnych. Oryginalne zgłoszenie opisuje nieautoryzowane tworzenie, zastępowanie lub usuwanie opublikowanych treści w takiej konfiguracji.

Sugerowane rozwiązanie: scentralizowanie autoryzacji operacji zapisu podczas importu; wymuszenie uprawnień do publikacji dla każdego wariantu opublikowanego (niepodlegającego automatycznej publikacji), autoryzowanie każdego konkretnego celu oraz walidacja wstępna (preflight) całego importu przed wprowadzeniem trwałych zmian. Należy zachować uprawniony import wersji roboczych oraz przewidziane działanie typów autopublikowanych.

Źródła referencyjne:

• Import write helpers
• Import permission gate
• Core role distinctions
• Core insert/update/publication permission hooks

Koordynacja

Vivek R / Winfunc Oryginalny zespół zgłaszający: Mufeed VH / Winfunc