Private Message Anhänge für nicht authentifizierte Benutzer zugänglich (fehlende Authentifizierungsprüfung)

Unterstützung
,
1

Problembeschreibung

Während einer Sicherheitsbewertung unseres angepassten Discourse-Forums haben wir ein potenzielles Authentifizierungsproblem bei Bildanhängen entdeckt, die in privaten Nachrichten hochgeladen wurden.

Details

  • Upload-API: /uploads.json

  • Zugriffs-URL: /uploads/default/original/1X/{file_name}

  • Reproduktion:

    1. Ein Benutzer lädt ein Bild in einer privaten Nachricht hoch (mit for_private_message=true).

    2. Das resultierende Bild kann über einen direkten Link von jedem Dritten abgerufen werden (einschließlich nicht angemeldeter Benutzer oder Benutzer im Inkognito-Modus).

Sicherheitsbedenken

  • Bilder, die in privaten Nachrichten hochgeladen werden, sollen vertraulich sein und nur für die Teilnehmer des Gesprächs zugänglich sein.

  • Wie derzeit implementiert, kann jedoch jeder mit der direkten URL diese Dateien herunterladen, unabhängig vom Authentifizierungs- oder Autorisierungsstatus.

Fragen

  • Ist dies das beabsichtigte Verhalten in der aktuellen Discourse-Implementierung?

  • Gibt es empfohlene Einstellungen oder Plugins, um sicherzustellen, dass Anhänge für private Nachrichten ordnungsgemäß geschützt sind und nur für autorisierte Benutzer sichtbar sind?

  • Wurde dieses Problem im vorgelagerten Discourse-Projekt besprochen oder behoben?

  • Gibt es Best Practices für die Sicherung privater Uploads in Discourse-Bereitstellungen?

Vielen Dank für Ihre Hilfe und Ihren Rat zu diesem wichtigen Sicherheitsproblem!

3

Es könnte sich lohnen, sich das anzusehen:

1 „Gefällt mir“