Extbase · Frage 11 von 12
Ein Shop-Plugin zeigt Bestellungen mit showAction(Order $order). Fluid baut den Link mit der uid. Welche Korrekturen schließen die IDOR-Lücke?
2 Antworten sind richtig. Schwer
Lösung anzeigen
Lösung
- A Bei fremder Bestellung eine 403-Antwort werfen statt sie anzuzeigen
- C Im Controller prüfen, ob die Bestellung dem angemeldeten Benutzer gehört
Erklärung
Extbase lädt das Objekt über die Identity. Ohne Eigentümerprüfung sieht jeder jede Bestellung. Die ID zu verstecken oder zu vergrößern ändert nichts an der fehlenden Prüfung.