ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、 こちら までご連絡ください。
コマース注文のプライベートメモを編集する際のアクセス制御の脆弱性
変更点: 注文メモの編集操作では、編集を許可する前に、要求したユーザーの権限範囲を特定のメモに対して検証するようになりました。
理由: プライベートノートへのアクセスが制限されている注文管理者ロールは、ノートIDパラメータを変更して、他の管理者のプライベートノートを編集できます。これは、本来制限されるべきだったコンテンツを暴露した。これはアクセス制御の不具合です。
影響を受けるユーザー: 制限付き注文管理者ロールとプライベート注文メモを使用するコマース展開。
更新方法: パッチ適用済みのリリースを適用します。プライベートノートは、リクエストで使用されたノートIDに関係なく、明示的な許可がない限り、ロールによって編集できなくなりました。