漏洞总结:ChurchCRM / CRM 中的对象级授权缺失 (IDOR) 漏洞概述 漏洞类型:对象级授权缺失 (IDOR) 受影响组件: API 端点 受影响版本: 修复版本: 描述:该 API 端点仅根据 加载实体并返回 JSON,未执行任何对象级授权检查。导致低权限用户(如仅能编辑自己或家庭成员记录的用户)可以读取其他家庭及无关人员的记录。 影响范围 任何经过身份验证的低权限用户都可以枚举并读取其他成员的记录。 敏感个人身份信息 (PII) 可能泄露,包括姓名、地址、电话号码、电子邮件地址、生日等。 某些对象可能会暴露更深层的相关数据。 复现代码 (POC) 1. 获取低权限用户的 API Key 2. 读取用户自己的记录 3. 读取既不是用户本人也不是同一家族成员的记录 修复方案 最终修复版本: (PR #8616) 修复逻辑: 1. 在 上实施 IDOR 检查,允许 用户查看任何人,允许 用户查看自己的家庭。 2. 阻止没有 权限的用户完全访问 API(重定向到 或返回 403)。 3. 新用户 方法。 4. 测试数据和 Cypress 测试用于受限访问流程。