ApostropheCMS: Import-API umgeht Veröffentlichungsrollen für geschützte Inhalte

Prüfumfang und Grenzen der Nachweise

Paket: @apostrophecms/import-export, Version 3.7.0.

Geprüfter Release-Tag: @apostrophecms/import-export@3.7.0, Commit 9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce (September 30, 2026).

Geprüfter aktueller Main-Branch: 5ce3732be0ebdebb4db0f8ef160c81e8671157e6.

Zwischen diesem Release-Tag und dem überprüften Main-Branch weisen der Importer, der Gzip-Extraktor, das Import-Berechtigungsgate und die Core-Berechtigungsimplementierung keine Unterschiede auf. Bei diesem Nachtrag handelt es sich um eine statische Behebungsprüfung. Die ursprünglichen End-to-End-Reproduktionen wurden nicht erneut gegen das neueste Release ausgeführt oder auf einer bereitgestellten Instanz getestet. Die aktuelle Ausnutzbarkeit und die Auswirkungen erfordern daher weiterhin eine Validierung durch die Betreuer; die folgenden Beobachtungen zeigen auf, dass die gemeldeten Sicherheitsprüfungen im öffentlichen Quellcode weiterhin fehlen. Das ursprüngliche per E-Mail versendete PDF enthält die originalen Reproduktionsschritte.

Import-API umgeht Veröffentlichungsrollen für geschützte Inhalte

Das Import-Gate in canImportOrExport() prüft die Import-Konfiguration des Typs sowie die Anzeigeberechtigung. Die Schreib-Hilfsfunktionen rufen anschließend Insert- und Update-Funktionen des Document-Managers direkt auf, einschließlich Operationen auf veröffentlichten Varianten. Die reguläre Prüfung auf Veröffentlichungsberechtigungen sowie der beforePublish-Übergang wurden in diesen Hilfsfunktionen nicht vorgefunden. Die Core-Berechtigungen unterscheiden ausdrücklich zwischen editRole und publishRole, und der reguläre Veröffentlichungszyklus setzt diese Unterscheidung durch.

Die gemeldete Sicherheitsgrenze betrifft Inhaltstypen, die ein Redakteur zwar bearbeiten darf, deren Veröffentlichung jedoch einer privilegierteren Rolle vorbehalten ist. Direkte Änderungen des öffentlichen Status über die Importfunktion müssen dieselbe Veröffentlichungsautorisierung erzwingen. Der ursprüngliche Bericht beschreibt die unbefugte Erstellung, Ersetzung oder Entfernung veröffentlichter Inhalte unter dieser Konfiguration.

Empfohlene Behebung: Zentralisierung der Autorisierung für Schreibvorgänge beim Import; Einforderung von Veröffentlichungsberechtigungen für jede nicht automatisch veröffentlichte Variante, Autorisierung jedes konkreten Ziels und Vorabprüfung des vollständigen Imports vor persistenten Änderungen. Autorisierte Entwurfsimporte und das vorgesehene Verhalten automatisch veröffentlichter Typen sollten dabei beibehalten werden.

Quellenverweise:

• Import write helpers
• Import permission gate
• Core role distinctions
• Core insert/update/publication permission hooks

Koordination

Vivek R / Winfunc Ursprüngliches Melder-Team: Mufeed VH / Winfunc