ORM 数据分页列表绕过了 Silverstripe GraqhQL 的查看权限 (CVE-2023-44401)
CVE编号
CVE-2023-44401利用情况
暂无补丁情况
N/A披露时间
2024-01-23漏洞描述
Silverstripe CMS GraphQL Server 在版本4.0.0至4.3.7和5.0.0至5.1.3之前，对分页的GraphQL查询结果中的ORM数据绕过了`canView`权限检查。需要注意的是，即使查询没有分页，这也会影响应用了限制的GraphQL查询。在版本4.3.7和5.1.3中修复了此问题，通过确保在每个结果页面执行`canView`权限检查后不会从数据库中获取新记录。这可能导致查询结果中的某些页面的记录数少于每页的最大记录数，即使还有更多结果页面。这种行为与Silverstripe CMS中其他区域（如`GridField`）中的分页工作方式一致，这是由于必须在PHP中执行权限检查而不是直接在数据库中执行。可以通过禁用`CanViewPermission`插件来禁用这些权限检查。解决建议
"将组件 silverstripe/graphql 升级至 5.1.3 及以上版本""将组件 silverstripe/graphql 升级至 4.3.7 及以上版本"
参考链接 |
|
|---|---|
| https://github.com/silverstripe/silverstripe-graphql/security/advisories/GHSA... | |
| https://www.silverstripe.org/download/security-releases/CVE-2023-44401 |
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 低
- 完整性 无
| CWE-ID | 漏洞类型 |
| CWE-863 | 授权机制不正确 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论