ApostropheCMS import-export: Wstrzyknięcie NoSQL przez wartość update-key umożliwia dopasowanie i nadpisanie niezidentyfikowanego dokumentu

Podsumowanie

Funkcja aktualizacji według klucza w @apostrophecms/import-export pozwala zaimportowanemu dokumentowi zawierać właściwość <field>:key (na przykład slug:key), której wartość służy do wyszukania istniejącego dokumentu w celu jego aktualizacji zamiast wstawiania nowego. getUpdateKey()/insertOrUpdateDocWithKey() (lib/methods/import.js) używają tej wartości bezpośrednio jako zapytania MongoDB bez wcześniejszej sanityzacji:

const matchingDraftPromise = manager.findForEditing(
  req.clone({ mode: 'draft' }),
  {
    aposMode: 'draft',
    [updateField]: doc[updateKey]
  }).toObject();

Dokumenty archiwum są parsowane za pomocą EJSON (zobacz lib/formats/gzip.js), który odtwarza obiekty, takie jak { $ne: null }, jako aktywne wartości. Jest to to samo niezaufane źródło danych i mechanizm odtwarzania, które zostały już wcześniej naprawione w tym module dla findSingletonAposDocId/findParkedAposDocId w GHSA-79qf-vqgc-7xx3. Poprawka ta nie objęła jednak insertOrUpdateDocWithKey, dlatego ten sam błąd występuje nadal: spreparowany wpis "slug:key": { "$ne": null } w aposDocs.json archiwum sprawia, że proces importu dopasowuje (a następnie aktualizuje) istniejący dokument, którego autor archiwum w rzeczywistości nie zidentyfikował, zamiast zakończyć się niepowodzeniem wyszukiwania.

Wpływ

Wykorzystanie tej podatności wymaga jedynie uwierzytelnionej sesji z uprawnieniami do importu dla danego typu obiektu (posiada je wbudowana rola contributor, co odpowiada warunkom wstępnym z GHSA-79qf-vqgc-7xx3) i nie wymaga interakcji administratora. Ponieważ dopasowanie wykorzystuje operator MongoDB zamiast dokładnej wartości, nie jest ono ograniczone do dokumentu, którego pole identyfikacyjne jest z góry znane importerowi: każdy istniejący dokument, do którego importer ma ogólne prawa edycji i który spełnia warunki operatora (co { $ne: null } spełnia dla każdego dokumentu z wartością inną niż null w tym polu), staje się kandydatem. Jedynym elementem zawężającym wybór nadpisywanego dokumentu jest filtr uprawnień findForEditing w Apostrophe, a nie logika klucza aktualizacji.

Zweryfikowano w działającym środowisku: żądanie roli contributor importujące dokument zawierający "slug:key": { "$ne": null } spowodowało zastosowanie jego zawartości do istniejącego, niepowiązanego szkicu artykułu i nadpisanie jego tytułu, mimo że importer nie wskazał rzeczywistego sluga tego artykułu.

Wersje dotknięte podatnością

Potwierdzono na gałęzi HEAD main z dnia 2026-09-04, packages/import-export/lib/methods/import.js.

Sugerowana poprawka

Przekształć doc[updateKey] w zwykły ciąg znaków (podobnie jak w poprawce zastosowanej do type/aposLocale/parkedId w GHSA-79qf-vqgc-7xx3) przed użyciem go jako wartości zapytania oraz przejdź do ścieżki wstawiania nowego rekordu, jeśli wartość nie jest poprawnym ciągiem znaków.