تمكين الجميع عن طريق الخطأ من رؤية فئة خاصة (مشكلة أمنية قابلة للاستغلال)

مرحبًا! أنا مدير في مثيل Discourse، وقد لاحظت أنني قمت بإعداد صلاحيات التصنيفات بشكل خاطئ عدة مرات (عن طريق جعلها أكثر انفتاحًا بالخطأ).

أود أن أوضح ذلك هنا لمعرفة ما إذا كانت هذه مشكلة خاصة بي أم أنها حدثت مع آخرين. وإذا كان الأمر كذلك، فما الذي يمكن فعله حيال ذلك.

ملاحظة: لم كنت لأولي هذا الأمر اهتمامًا كبيرًا لو لم يحدث لي عدة مرات بالفعل - 4 مرات في المجموع - ويبدو أنها كانت مهمة لدرجة أنني تذكرت كل منها.

المشكلة

عند إنشاء تصنيف جديد، تكون الصلاحيات الافتراضية هي الجميع مع صلاحيات إنشاء / رد / مشاهدة.

لسبب ما، عندما أقوم بهذا الخطأ، أضغط أولاً على قائمة منسدلة لاختيار المجموعة التي أرغب في منحها حق الوصول إلى هذا التصنيف، ثم أختار الصلاحيات. ولكنني أنسى النقر على + ثم على x لحذف صلاحية “الجميع”.

الآثار الأمنية

قد يعتقد البعض أن الآثار طفيفة، لأنه عندما يحدث هذا الخطأ، يكون التصنيف قد تم إنشاؤه للتو، لذا لا يتم الكشف عن أي محتوى فعلي. ولكن في بعض الحالات، مجرد إخبار المستخدمين بوجود تصنيف (سيُعلن عنه قريبًا) قد يفسد المفاجأة أو يكشف عن خطط مستقبلية لا تزال في مرحلة المسودة.

إعجابَين (2)

شكرًا لك على الإبلاغ عن ذلك! من الجيد معرفة أين يواجه المستخدمون مشاكل في واجهة المستخدم. أتفق على أن ارتكاب خطأ في تعيين أذونات التصنيف قد يتسبب في مشاكل أمنية. ستكون هناك مشكلة مماثلة وأكثر خطورة هي ارتكاب خطأ في تعيين إعداد “تسجيل الدخول مطلوب” للموقع.

لا أعرف ما الذي يمكن أن يفعله Discourse للتأكد من صحة الإعدادات المتعلقة بالأمان قبل تحديثها.

5 إعجابات

ربما تكون إحدى الحلول هي: إذا قام المستخدم بتغيير زر القائمة المنسدلة، فافترض أن المستخدم كان يحاول القيام بشيء ما، واعرض مربع رسالة تأكيد مثل التالي ولكن مع النص:

لقد قمت بتغيير الأذونات، لكنك لم تطبّقها. هل أنت متأكد من رغبتك في السماح لأي شخص برؤية هذه الفئة؟

إعجاب واحد (1)