Qu'est-ce que c'est ?
Résumé
La fonction buildevaluationreport du paquet cti-transmute n'applique aucun contrôle d'accès lors de l'export des rapports en Markdown ou PDF, ce qui divulgue des commentaires privés et le nom de leurs auteurs à des utilisateurs non autorisés. La recommandation principale est de mettre à jour cti-transmute vers la version corrigée qui transmet l'utilisateur demandeur au générateur de rapport afin de filtrer chaque commentaire avec la fonction access.canseecomment.
Affected versions of cti-transmute fail to apply comment-level access-control rules when generating evaluation report exports. Although normal comment retrieval filters comments according to conversion visibility, comment privacy, ownership, authorship, and administrative privileges, build_evaluation_report() previously included all evaluation comments without applying those rules. Consequently, a user who was authorized to view a conversion could export its evaluation report as Markdown or PDF and obtain private evaluation comments that should only have been visible to the conversion owner, the comment author, or an administrator. The leaked report data also contained the comment author's name. The fix passes the requesting user into the report builder and filters every evaluation comment using the shared access.can_see_comment() authorization function.
Technologies affectées
Non précisé par la fiche NVD.
Recommandation
Vérifie la disponibilité d'un correctif pour la technologie concernée et applique-le dès que possible. Consulte la fiche NVD pour les références officielles du fournisseur.
Exploits publics connus (0)
Aucun proof-of-concept public trouvé sur GitHub à ce jour. Ça peut changer : les PoC sont souvent publiés plusieurs jours ou semaines après la divulgation.