ApostropheCMS: GET /api/v1/@apostrophecms/page/:id umgeht viewRole-Beschränkung und legt viewPermission-geschützte Felder offen

Zusammenfassung

Der REST-Endpunkt getOne für Seiten wendet weder typbezogene viewRole-Beschränkungen noch Feld-Redizierungen via viewPermission an. Ein Benutzer mit Editor-Rechten, der eine Dokument-_id kennt, kann den vollständigen Inhalt von Seiten, die Administratoren vorbehalten sind, sowie deren privilegierte Felder auslesen. Der Endpunkt getAll setzt beide Beschränkungen hingegen korrekt durch.

Details

Befund 3 — viewRole-Umgehung: modules/@apostrophecms/page/index.js legt getRestQuery(req, omitPermissionCheck = false). The getAll path calls publicApiCheckAsync offen und durchläuft die gesamte Query-Builder-Pipeline einschließlich der viewRole-Filterung. Der getOne-Pfad nutzt einen abweichenden Codepfad, der diese Pipeline überspringt.

Ein Seitentyp, der mit viewRole: 'admin' deklariert ist, ist über GET /api/v1/@apostrophecms/page?type=secretPage unzugänglich (gibt 403 für einen Editor zurück), wird jedoch durch GET /api/v1/@apostrophecms/page/:id:en:published an denselben Editor vollständig ausgeliefert.

Befund 4 — viewPermission-Feldleck: Felder, die mit viewPermission: { action: 'edit', type: '@apostrophecms/page' } versehen sind, werden im getAll-Pfad von removeForbiddenFields entfernt, jedoch in getOne unverändert zurückgegeben. Ein Editor, der eine Dokument-_id kennt, kann alle durch viewPermission beschränkten Felder einsehen.

Proof of Concept

# Log in as editor, get session jar
EDITOR_JAR="..."

# getAll — correctly blocked
curl -b "$EDITOR_JAR" \
  "http://TARGET/api/v1/@apostrophecms/page?type=secretPage"
# → 403 Forbidden

# getOne — bypassed, returns full document including viewPermission fields
curl -b "$EDITOR_JAR" \
  "http://TARGET/api/v1/@apostrophecms/page/ADMIN_PAGE_ID:en:published"
# → 200 OK, full doc including secretField value

Auswirkungen

Editoren können den gesamten Inhalt jeder Seite lesen – einschließlich solcher, die über viewRole auf Administratoren beschränkt sind –, sofern sie die _id kennen oder erraten können. Durch viewPermission geschützte sensible Feldwerte werden ebenfalls vollständig offengelegt. Dadurch wird das Modell für Inhaltszugriffskontrollen auf jeder Site untergraben, die diese Dekoratoren nutzt.