إصلاح، أمان
خاصّ افتراضياً
كانت التسجيلات تُفتح لكل من يملك الرابط. الآن يُتحقّق من كل طلب قبل أن يُعرض أي جزء منها.
- 01
المشكلة
كانت مقاطع الفيديو المسجّلة تُفتح لأي شخص لديه الرابط المباشر، دون الحاجة إلى تسجيل الدخول.
- 02
السبب الجذري
كانت الملفات تُقدَّم من مسار عام يمكن قراءته، دون أي تحقّق من الصلاحيات قبلها.
- 03
الحل
نقلتُ التسجيلات خلف وصول يتطلّب تسجيل الدخول والتحقّق من الصلاحية، فلا يشاهدها إلا المراجعون المخوّلون.
- 04
النتيجة
لم يعد الرابط وحده كافياً للوصول إلى أي تسجيل.
الخطوات
- تأكيد الثغرة في نافذة خاصة
- حصر كل مكان يُنشئ رابط ملف
- إضافة تحقّق من الصلاحية قبل الملفات
- إعادة الاختبار كزائر ومالك ومراجع
التقنيات
Node.js, الصلاحيات / RBAC, تخزين الملفات
يا مرحباً ألفاً وألفا