К обсуждениям

Decidim: проверка одноразовости private export link

Редакция VOne Технологии

Защитная диагностика Decidim private export по GHSA-767h-63j4-5226: version inventory, обратимый fixture, PASS/FAIL/Unknown, stop-rule и минимальный пакет доказательств без production-данных.

Короткий ответ: какая граница важна в Decidim private export

Проверять нужно не продукт целиком, а конкретный инвариант: download capability должна иметь ограниченный срок и потребляться либо отзываться согласно документированному lifecycle. Пользовательская боль здесь одна — ссылка на приватный export может повторно выдавать файл после первого успешного использования. Запись GHSA-767h-63j4-5226 задаёт инвентарную отсечку «decidim-core: < 0.30.9; первая исправленная версия: 0.30.9», но номер версии не является диагнозом. Наличие пакета означает только candidate: ещё нужно доказать runtime artifact, включённую функцию и достижимый путь. Отсутствие жалоб, зелёный health и название образа ничего не говорят об этой границе. Практический ответ строится вокруг отдельного наблюдения «link state | request index | response | capability consumed | verdict» и прекращается по условию «повтор вернул файл, понадобилась production-ссылка или содержимое экспорта попало в журнал». Это сохраняет тему узкой и не превращает её в повтор общего security-чеклиста.

Проверьте применимость до эксперимента

Найдите decidim-core в resolved lock, SBOM или фактически загруженном binary и свяжите результат с digest либо revision. Сопоставьте его с «decidim-core: < 0.30.9; первая исправленная версия: 0.30.9». Получаются четыре честных исхода: absent — компонента в runtime нет; out_of_range — доказанная версия не входит в указанную область; candidate — область совпала и функция доступна; unknown — provenance или reachability не подтверждены. Для backport отдельно приложите commit и regression test. Не повышайте unknown до pass по дате сборки, vendor banner или одному ответу HTTP.

Безопасное наблюдение для GHSA-767h-63j4-5226

Используйте только обратимый сценарий: одноразовый export содержит пустую CSV-схему; ссылка вызывается первый раз, повторно и после expiry clock fixture без реальных данных. Сначала выполните штатный control, иначе отказ boundary-case может означать сломанный стенд. Работайте в disposable-процессе или namespace без production snapshot, учётных данных, персональных объектов и открытого egress. До старта зафиксируйте разрешённые файлы, network scope, timeout, CPU/RSS budget и способ cleanup. После шага прочитайте состояние обратно и сравните только синтетические маркеры. Не переносите из advisory exploit-код, реальные идентификаторы или опасную нагрузку.

Матрица результата и критерий остановки

Рабочая строка этой статьи: link state | request index | response | capability consumed | verdict. PASS допустим, когда control достигает целевой функции, boundary-case управляемо отклонён, а readback и side-effect diff чисты. FAIL фиксируется только при работающем control и прямом нарушении инварианта «download capability должна иметь ограниченный срок и потребляться либо отзываться согласно документированному lifecycle». UNKNOWN обязателен при неизвестной сборке, неполной телеметрии, раннем limiter, неоднозначном состоянии или невозможности безопасно воспроизвести ветку. Stop-condition задаётся заранее: повтор вернул файл, понадобилась production-ссылка или содержимое экспорта попало в журнал. После него тест не расширяют и не пытаются добиться результата большей нагрузкой.

Как доказать исправление без лишних изменений

Для candidate или FAIL сверьте remediation на upstream-странице GHSA-767h-63j4-5226 и используйте поддерживаемую версию либо документированный backport; inventory-ориентир остаётся «decidim-core: < 0.30.9; первая исправленная версия: 0.30.9». Если patched release не названа, не выдумывайте её: временно изолируйте функцию и согласуйте отдельную миграцию. На том же fixture сохраните pre/post artifact digest, повторите control и boundary-case, затем сравните матрицу «link state | request index | response | capability consumed | verdict». Canary допустим только после чистого cleanup и отдельного rollback. Не меняйте одновременно proxy, права, storage или формат данных — иначе причина результата потеряется.

Минимальный handoff владельцу Decidim private export

Передайте GHSA-767h-63j4-5226, resolved package, границу «decidim-core: < 0.30.9; первая исправленная версия: 0.30.9», artifact digest, feature state, hash fixture, budgets, одну заполненную строку «link state | request index | response | capability consumed | verdict», verdict PASS/FAIL/UNKNOWN и причину unknown. Ссылки на GitHub Advisory Database и upstream источник нужны для повторной проверки, но длинные фрагменты не копируются. Укажите, что вывод относится только к боли «ссылка на приватный export может повторно выдавать файл после первого успешного использования». Удалите hostnames, IP, usernames, cookies, tokens, конфиги и содержимое пользовательских объектов. Для независимого журнала достаточно полей `decidim-private-export-link-lifecycle-check-artifact`, `decidim-private-export-link-lifecycle-check-control`, `decidim-private-export-link-lifecycle-check-boundary`, `decidim-private-export-link-lifecycle-check-readback`, `decidim-private-export-link-lifecycle-check-sideeffects`, `decidim-private-export-link-lifecycle-check-stop`, `decidim-private-export-link-lifecycle-check-verdict`, `decidim-private-export-link-lifecycle-check-cleanup`; значения секретов в них запрещены.

Материал подготовлен редакцией VOne с помощью ИИ; даты, версии, первичные источники, обратимый fixture, stop-rule, privacy-ограничения и отсутствие рекламных обещаний перепроверены человеком.

Источники и проверка

Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.

Ответы

0 опубликовано
Ответов пока нет. Вы можете начать обсуждение.

Ваш ответ

Добавьте свой опыт или уточнение по теме.

Вы публикуете как Аноним Аватар отличает разговоры, но не раскрывает личные данные.

Ответ появится сразу. Не публикуйте личные данные, ключи и приватные ссылки.