ApostropheCMS: Fehlende Authentifizierung in der Route `cleanExport`

1. Zusammenfassung

Dem API-Endpunkt POST /api/v1/@apostrophecms/import-export/clean-export in @apostrophecms/import-export fehlen Authentifizierungs- und Autorisierungsprüfungen. Jeder Client – einschließlich nicht authentifizierter anonymer Benutzer, die beim Besuch der Website das standardmäßige CSRF-Cookie erhalten haben – kann diese Route direkt aufrufen und die zugrunde liegende Methode self.cleanExport(req) auslösen.

2. Betroffene Dateien & Endpunkte

• Endpunkt: POST /api/v1/@apostrophecms/import-export/clean-export
• Routendefinition: packages/import-export/lib/apiRoutes.js (Zeilen 32–34)
• Methodenimplementierung: packages/import-export/lib/methods/import.js (Zeilen 1271–1324)

3. Ursachenanalyse

In packages/import-export/lib/apiRoutes.js validiert der Handler get.related explizit, dass der Aufrufer angemeldet ist:

get: {
  async related(req) {
    if (!req.user) {
      throw self.apos.error('forbidden');
    }
    // ...
  }
}

Im Gegensatz dazu fehlt in post.cleanExport (sowie in post.overrideDuplicates) jegliche Überprüfung von req.user:

post: {
  async overrideDuplicates(req) {
    return self.overrideDuplicates(req);
  },

  async cleanExport(req) {
    return self.cleanExport(req); // <-- No authentication check
  }
}

Da ApostropheCMS die Authentifizierung nicht global für alle apiRoutes erzwingt, führt das Weglassen einer expliziten Absicherung über if (!req.user) dazu, dass anonyme Anfragen direkt an die Geschäftslogikschicht weitergeleitet werden.

4. Nachweis

Beim Senden einer nicht authentifizierten POST-Anfrage mit dem CSRF-Cookie der Website (das jedem Besucher auf GET / ausgestellt wird) umgeht die Anfrage die Zugriffskontrolle vollständig und führt self.cleanExport(req) aus, wie der Server-Stack-Trace zeigt:

at Object.cleanExport (.../packages/import-export/lib/methods/import.js)
at .../packages/apostrophe/modules/@apostrophecms/module/index.js:193:30

Dies bestätigt, dass die Ausführung ohne authentifizierte Sitzung direkt den zentralen Import-Export-Handler erreicht.

5. Auswirkungen

1. Fehlerhafte Zugriffskontrolle: Nicht authentifizierte Benutzer können Bereinigungsoperationen aufrufen und auf dem Server gespeicherte temporäre Exportdateien sowie Artefakte löschen.
2. Unbefugte Zustandsänderung: Der Endpunkt ermöglicht das Ändern von Job-Datensätzen in der Datenbank über req.body.jobId (wodurch diese auf ended: true, status: 'completed' gesetzt werden) und das Verwerfen von Benachrichtigungen über req.body.notificationId, ohne zu prüfen, ob die Ressourcen dem anfragenden Aufrufer gehören.

6. Vorgeschlagene Behebung (Patch)

Erzwingen Sie eine Authentifizierungsprüfung in packages/import-export/lib/apiRoutes.js, bevor die zugrunde liegenden Methoden ausgeführt werden:

--- a/packages/import-export/lib/apiRoutes.js
+++ b/packages/import-export/lib/apiRoutes.js
@@ -26,10 +26,16 @@ module.exports = self => {
     get: { ... },
     post: {
       async overrideDuplicates(req) {
+        if (!req.user) {
+          throw self.apos.error('forbidden');
+        }
         return self.overrideDuplicates(req);
       },
 
       async cleanExport(req) {
+        if (!req.user) {
+          throw self.apos.error('forbidden');
+        }
         return self.cleanExport(req);
       }
     }