ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
Shopper هي لوحة تحكم تجارة إلكترونية بدون رأس. من الإصدار 2.8.0 حتى 2.8.1، تحتفظ ثلاثة مكونات إدارية في Shopper Livewire بثغرات في التفويض بعد إصلاح إعدادات الفريق السابق. يمكن لعضو طاقم لديه صلاحيات `view_users` و `access_dashboard` فقط تعديل الصلاحيات أو إنشاء مسؤول أو حذف الأدوار. في packages/admin/src/Livewire/Components/Settings/Team/Permissions.php، تأذن دوال `togglePermission` و `removePermission` لصلاحية `view_users` بدلاً من صلاحية `access_setting` الأقوى؛ تعرض packages/admin/resources/views/livewire/components/settings/team/permissions.blade.php معرفات الصلاحيات في معالجات `wire:click`. يمكن للمهاجم منح صلاحيات عشوائية للدور المرتبط، بما في ذلك `access_setting` على دور المهاجم نفسه، أو حذف تعريفات الصلاحيات. في packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php، تقبل دوال `mount()` و `store()` أيضًا `view_users`، ويمكن لـ `role_id` المحدد من قبل العميل تحديد دور المسؤول، مما يسمح بإنشاء مسؤول تم التحقق منه مسبقًا بكلمة مرور يختارها المهاجم. في packages/admin/src/Livewire/Pages/Settings/Team/RolePermission.php، لا تحتوي `deleteAction` على تفويض إجراء ويتم تقييدها فقط بـ `can_be_removed`، بينما يتطلب الوصول إلى الصفحة `view_users`. يؤدي حذف دور قابل للإزالة إلى إزالة الوصول للمستخدمين المعينين، مما يتيح حجب الخدمة لـ RBAC بالإضافة إلى تصعيد الصلاحيات. تم إصلاح هذه المشكلة في الإصدار 2.8.1.
المعالجة
المراجع
- مرجعhttps://github.com/shopperlabs/shopper/commit/ac9a76044a8e4a2b570b438d66cf3007f3dc479e
- مرجعhttps://github.com/shopperlabs/shopper/compare/v2.8.1...v2.9.2
- مرجعhttps://github.com/shopperlabs/shopper/pull/514
- مرجعhttps://github.com/shopperlabs/shopper/releases/tag/v2.8.1
- مرجعhttps://github.com/shopperlabs/shopper/security/advisories/GHSA-j328-xmgp-j4q3