Защитная диагностика Weblate GroupViewSet по GHSA-2q2q-jr9g-v9rf: применимость, обратимый локальный control, измеримый verdict, критерий остановки и минимальный пакет данных для владельца системы.
Короткий ответ — Weblate GroupViewSet: scope закрытого проекта
Задача страницы — проверить, что manager проекта видит и связывает команды только в разрешённом project/workspace scope. Сначала установите фактически загруженный Weblate GroupViewSet, package lock или image digest и границу «Weblate: introduced 0, fixed 2026.7». Advisory GHSA-2q2q-jr9g-v9rf — сигнал для inventory, а не доказательство состояния вашей установки. Практический порядок: provenance, один benign control, один boundary-case, измеримый verdict и cleanup. Боль конкретна: проектный менеджер может получить сведения закрытого проекта через неверно scoped API queryset. Итогом должен стать матрица principal / workspace / project / action / queryset count / HTTP result, а не субъективное утверждение «вроде безопасно».
Граница решения в Weblate GroupViewSet
Разделите путь данных на переходы: authenticated manager → workspace membership → project permission → GroupViewSet queryset. На каждом переходе запишите владельца значения, тип, допустимое состояние и запрещённый side effect. Проверяемая инварианта: объект B отсутствует или даёт 404/403, а разрешённый объект A возвращается с тем же сериализатором. NOT_APPLICABLE допустим только если component/function доказанно отсутствует; неизвестные digest, версия или effective config дают UNKNOWN. Номер исправленного релиза без runtime readback не является PASS, а отсутствие инцидента не доказывает соблюдение границы.
Безопасный локальный стенд для Weblate GroupViewSet
Control выполняется только в disposable state: создать in-memory проекты A и B, дать manager доступ только к A и запросить идентификатор B; никаких production-данных. Сеть, shell, production database, реальные bucket, broker, SMTP, файловые пути, токены и пользовательские данные замените spies, stubs или in-memory объектами. До запуска сохраните baseline hash, нулевые counters и лимит времени/памяти. Входы должны быть короткими синтетическими маркерами; цель — проверить ветвление и ownership, а не воспроизводить эксплуатацию или усиливать воздействие.
Control, boundary-case и наблюдения
Benign control подтверждает достижимость ожидаемой ветки. Boundary-case меняет ровно один признак, связанный с болью «проектный менеджер может получить сведения закрытого проекта через неверно scoped API queryset», и не выходит за минимальный тестовый масштаб. Сохраните матрица principal / workspace / project / action / queryset count / HTTP result, reason code, duration и counters до/после. Ключевое правило остаётся неизменным: объект B отсутствует или даёт 404/403, а разрешённый объект A возвращается с тем же сериализатором. Если control не достигает целевой функции или точка наблюдения двусмысленна, verdict — UNKNOWN; добавлять более сильный вход ради красивого результата нельзя.
Как вынести PASS, FAIL и UNKNOWN
PASS требует подтверждённых provenance/version, успешного benign control, соблюдения инварианты «объект B отсутствует или даёт 404/403, а разрешённый объект A возвращается с тем же сериализатором», нулевых запрещённых side effects и доказанного cleanup. FAIL — тот же provenance плюс наблюдаемое нарушение: ответ для manager A содержит идентификатор или поле проекта B. UNKNOWN означает, что нет digest, effective config, control, recorder либо возможности восстановить fixture. Запишите решение в матрица principal / workspace / project / action / queryset count / HTTP result; один HTTP status, отсутствие exception или факт установки новой версии по отдельности недостаточны.
Красная линия и восстановление
Немедленно прекратите проверку, если ответ для manager A содержит идентификатор или поле проекта B. Не увеличивайте объём, глубину, число повторов и не переносите эксперимент на чужую систему. Откатите fixture к baseline, убедитесь, что counters сети, файлов, процессов, очередей и persistent writes вернулись в ожидаемое состояние, затем один раз повторите benign control. Любой неожиданный side effect блокирует PASS даже тогда, когда основной parser или policy вернул правильный код.
Почему это отдельный поисковый intent
Проверяется пересечение workspace и project scope конкретного API, а не абстрактная ролевая модель. Поэтому статья отвечает на самостоятельный запрос «проверить, что manager проекта видит и связывает команды только в разрешённом project/workspace scope» и не создаётся как замена бренда, ОС или устройства. Её deliverable — матрица principal / workspace / project / action / queryset count / HTTP result, а измеримый stop-rule — ответ для manager A содержит идентификатор или поле проекта B. Если существующий URL уже покрывает ту же боль, ожидаемый ответ и дерево решения, нужен отдельный update/merge-контракт, а не новая соседняя страница.
Минимальный пакет для владельца системы
Передайте владельцу GHSA-2q2q-jr9g-v9rf, component digest, effective version/config, границу «Weblate: introduced 0, fixed 2026.7», описание перехода «authenticated manager → workspace membership → project permission → GroupViewSet queryset», control/boundary rows, counters, verdict, stop reason и cleanup proof. Advisory опубликована 2026-08-28 и обновлена 2026-08-28; эти даты подтверждают свежесть источника, но не популярность запроса, не факт эксплуатации и не применимость к конкретному deployment. После обновления повторите тот же fixture без изменения масштаба и сравните матрица principal / workspace / project / action / queryset count / HTTP result.
Материал подготовлен редакцией VOne с помощью автоматизированного черновика; даты, версии и ссылки сверены по GitHub Advisory Database и первичному upstream-материалу. Текст самостоятельный, не копирует источники, не содержит эксплуатационных последовательностей и предназначен для безопасной локальной проверки.
Источники и проверка
- GitHub Advisory Database — GHSA-2q2q-jr9g-v9rf проверено 2026-09-02
- Первичный upstream-материал — Weblate GroupViewSet проверено 2026-09-02
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.