操作
Bug（バグ） #290
完了
MessagePlugin でCSRF対策がされていない
開始日:
2009-11-29
期日:
進捗率:
100%
予定工数:
3.6 で発生するか:
［QA］バグ通知済:
いいえ
3.8 で発生するか:
説明
対策がされていない箇所
メッセージの削除
message/deleteReceiveMessage/:id
メッセージの復元
message/reply/id/:id
メッセージの返信
message/reply/id/:id
Shinichi Urabe さんがほぼ15年前に更新
- 進捗率 を 0 から 90 に変更
http://trac.openpne.jp/changeset/13173
削除、復元のメッセージの状態が変化する動作の場合のみにCSRFをチェックする対応を行いました。
メッセージの返信の場合にトークンを必須にすると不便になりそうなので、対応していません。
Kousuke Ebihara さんがほぼ15年前に更新
- 進捗率 を 90 から 0 に変更
僕が受け持ちます。
メッセージの返信の場合にトークンを必須にすると不便になりそうなので、対応していません。
何を言っているのか意味が分からないのですが（トークンを必須にすると不便？／不便になりそうなので対応しない？）、返信機能については確認したところ、 CSRF に脆弱とは言えない（攻撃が成立しない）ので、今回は重要度が低いと見なし対策をおこないません。報告は誤りとし、対応後修正します。
操作