ApostropheCMS: Kontynuacja duplikatów archiwum pozwala współpracownikom na nadpisywanie opublikowanych treści

Zakres przeglądu i ograniczenia dowodowe

Pakiet: @apostrophecms/import-export, wersja 3.7.0.

Przejrzany tag wydania: @apostrophecms/import-export@3.7.0, commit 9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce (wrzesień 30, 2026).

Przejrzana bieżąca gałąź główna (main): 5ce3732be0ebdebb4db0f8ef160c81e8671157e6.

Moduł importujący, ekstraktor gzip, bramka uprawnień importu oraz implementacja podstawowych uprawnień nie wykazują różnic między tym tagiem wydania a sprawdzoną gałęzią główną. Niniejszy przegląd ma charakter statycznej weryfikacji naprawy błędu. Oryginalne odtworzenie podatności end-to-end nie zostało powtórzone na najnowszej wersji ani przetestowane na wdrożonej witrynie. Bieżąca możliwość wykorzystania błędu oraz jego wpływ wymagają potwierdzenia przez opiekunów projektu; poniższe spostrzeżenia potwierdzają, że zgłoszone mechanizmy kontroli bezpieczeństwa nadal nie występują w publicznym kodzie źródłowym. Oryginalny plik PDF przesłany pocztą elektroniczną zawiera pierwotne materiały umożliwiające reprodukcję; należy odnieść się do tego istniejącego prywatnego załącznika.

Kontynuacja duplikatów archiwum pozwala na nieautoryzowane zastąpienie opublikowanych treści

Funkcja kontynuacji overrideDuplicates() nadal akceptuje opcje zastąpienia przekazane przez klienta, zamiast wiązać je z analizą duplikatów zarządzaną przez serwer i przypisaną do użytkownika. Funkcje pomocnicze do zastępowania i zapisu nie ustanawiają jednolitej kanonicznej tożsamości zasobu ani kontekstu autoryzacji przed dokonaniem aktualizacji. Pozostawia to nierozwiązaną na poziomie kodu źródłowego lukę między uprawnieniami do edycji wersji roboczych a opublikowanym celem wybranym do zastąpienia.

Oryginalne zgłoszenie opisuje sytuację, w której współpracownik przekracza granicę publikacji poprzez zastąpienie duplikatu w zlokalizowanym typie z włączonym importem. Ta sekwencja end-to-end nie została powtórzona na 3.7.0.

Sugerowane rozwiązanie: powiązanie stanu kontynuacji z użytkownikiem inicjującym, archiwum, zadaniem, dozwolonym mapowaniem źródła/celu, ustawieniami regionalnymi (locale) oraz trybem; odrzucanie niespójnych metadanych tożsamości; wyprowadzanie uprawnień z faktycznie załadowanego obiektu docelowego oraz wymaganie uprawnień do publikacji w przypadku obiektów opublikowanych.

Źródło: overrideDuplicates(), replaceDocId() oraz insertOrUpdateDoc() w module importer.).

Koordynacja

• Vivek R / Winfunc
• Pierwotny zespół zgłaszający: Mufeed VH / Winfunc