ثغرة غياب التفويض في واجهة برمجة تطبيقات كتابة المحتوى في SonicJS حتى الإصدار 3.0.0

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي SonicJS حتى الإصدار 3.0.0 على ثغرة غياب التفويض في مسارات كتابة المحتوى /api/:collection و /api/content التي تفحص فقط تسميات الأدوار الخشنة. يمكن للمؤلفين أو المحررين الذين يملكون حسابًا مصادقًا عليه استخدام رمز JWT لحامل أو مفتاح واجهة برمجة تطبيقات لإنشاء أو تعديل أو نشر أو حذف مستندات المستخدمين الآخرين برفق، متجاوزين قوائم التحكم في الوصول للمستندات وتجاوزات الحظر الخاصة بالمسؤول.

المعالجة

1. أحصِ جميع نشرات SonicJs-Org sonicjs، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تصحيحhttps://github.com/SonicJs-Org/sonicjs/pull/1147
• تحذيرhttps://hackmd.io/@hieuPenguinnn/sonicjs-content-api-write-acl-bypass
• تحذيرhttps://www.vulncheck.com/advisories/sonicjs-through-3.0.0-missing-authorization-in-content-write-api
• مرجعhttps://github.com/SonicJs-Org/sonicjs
• مرجعhttps://github.com/SonicJs-Org/sonicjs/blob/v3.0.0/packages/core/src/routes/api.ts#L1296
• مرجعhttps://github.com/SonicJs-Org/sonicjs/issues/1125