You are viewing a plain text version of this content. The canonical link for it is here.
Posted to dev@syncope.apache.org by Xi...@swm.de on 2013/03/19 11:14:14 UTC

potential security concern

Dear Sir or Madam,
I have a question about syncope 1.1.0-SNAPSHOT.

The following is an excerpt of the method create in UserServiceImpl:



 UserTO created = userController.createInternal(userTO);



But there is no annotation @preAuthorize at the method createInternal in UserController. Could it be a Bug? I mean, the method createInternal can be invoked by the user without a role "USER_CREATE". Other *internal methods in UserController potentially have the same problem.


Thanks!


Best regards,
Fei Xie

SWM -Besser leben mit M.
Informations- und Prozesstechnik
Eigenentwicklungen
Telefon: 089/23 61-3055
xie.fei@swm.de<ma...@swm.de>
www.swm.de<http://www.swm.de>
SWM Services GmbH, Emmy-Noether-Straße 2, 80992 München; Geschäftsführer Dr. Florian Bieberbach, Herbert König, Reinhard Büttner, Stephan Schwarz, Erna-Maria Trixl; Sitz München; Registergericht München HRB 126 674; Aufsichtsratsvorsitzender Oberbürgermeister Christian Ude
Der Inhalt dieser E-Mail oder eventueller Anhänge ist ausschließlich für den bezeichneten Adressaten bestimmt. Wenn Sie nicht der vorgesehene Adressat dieser E-Mail oder dessen Vertreter sein sollten, so beachten Sie bitte, dass jede Form der Kenntnisnahme, Veröffentlichung, Vervielfältigung oder Weitergabe des Inhalts dieser E-Mail unzulässig ist. Wir bitten Sie, sich in diesem Fall mit dem Absender der E-Mail in Verbindung zu setzen.
.

Re: potential security concern

Posted by Francesco Chicchiriccò <il...@apache.org>.
On 19/03/2013 11:14, Xie.Fei@swm.de wrote:
> Dear Sir or Madam,
> I have a question about syncope 1.1.0-SNAPSHOT.
>
> The following is an excerpt of the method create in UserServiceImpl:
>
>   UserTO created = userController.createInternal(userTO);
>
> But there is no annotation @preAuthorize at the method createInternal in UserController. Could it be a Bug? I mean, the method createInternal can be invoked by the user without a role "USER_CREATE". Other *internal methods in UserController potentially have the same problem.

Hi,
thanks for reporting this: I've opened SYNCOPE-338 to track it.

Regards.

-- 
Francesco Chicchiriccò

ASF Member, Apache Syncope PMC chair, Apache Cocoon PMC Member
http://people.apache.org/~ilgrosso/