vulnerabilidad de seguridad
Hola @Janno_Liivak,
¡Gracias por este útil plugin! He encontrado algunas vulnerabilidades de seguridad críticas que requieren atención:
Problemas
- Sin verificación de autorización - Cualquier usuario puede marcar cualquier tema como vendido/comprado/intercambiado
- Falta de validación backend - Los controladores no verifican:
- Plugin habilitado (
topic_trade_buttons_enabled) - Botones de categoría habilitados (
enable_*_button) - Solo el frontend verifica esta configuración (inseguro)
- Plugin habilitado (
- Sin validación de entrada - El parámetro
topic_idno se valida - Sin registro de acciones posteriores a la creación - Las operaciones no se registran, no hay registro de quién realizó las acciones
Impacto
- Manipulación no autorizada de temas
- Omisión de la configuración del plugin/categoría mediante llamadas directas a la API
- Sin rastro de auditoría de quién realizó las acciones de intercambio