وصف المشكلة
أثناء تقييم أمني لمنتدانا المخصص من Discourse، اكتشفنا مشكلة مصادقة محتملة تؤثر على مرفقات الصور التي تم تحميلها ضمن الرسائل الخاصة.
التفاصيل
-
واجهة برمجة تطبيقات التحميل: /uploads.json
-
عنوان URL للوصول: /uploads/default/original/1X/{file_name}
-
إعادة الإنتاج:
-
يقوم المستخدم بتحميل صورة في رسالة خاصة (مع for_private_message=true).
-
يمكن الوصول إلى الصورة الناتجة عبر رابط مباشر من قبل أي طرف ثالث (بما في ذلك المستخدمين غير المسجلين الدخول أو المستخدمين في وضع التصفح المتخفي).
-
الشاغل الأمني
-
من المتوقع أن تكون الصور التي تم تحميلها في الرسائل الخاصة سرية ولا يمكن الوصول إليها إلا من قبل المشاركين في المحادثة.
-
ومع ذلك، كما هو مطبق حاليًا، يمكن لأي شخص لديه عنوان URL المباشر تنزيل هذه الملفات، بغض النظر عن حالة المصادقة أو التفويض.
أسئلة
-
هل هذا هو السلوك المقصود في التنفيذ الحالي لـ Discourse؟
-
هل هناك إعدادات أو إضافات موصى بها لضمان حماية مرفقات الرسائل الخاصة بشكل صحيح وأنها مرئية فقط للمستخدمين المصرح لهم؟
-
هل تمت مناقشة هذه المشكلة أو معالجتها في مشروع Discourse الأساسي؟
-
هل هناك أفضل الممارسات لتأمين التحميلات الخاصة في عمليات نشر Discourse؟
شكرًا لمساعدتكم ونصائحكم بشأن هذا الشاغل الأمني الهام!