[HIGH] /tunnels/history — Leak ohne Tenant-Header + Filter nach LIMIT (unvollständige Eigenliste) #111

New issue

Closed

opened 2026-06-20 14:40:13 +00:00 by chinux · 3 comments

chinux commented

2026-06-20 14:40:13 +00:00

Owner

Teil von #108. HIGH (Leak + Funktionsbug). GET /tunnels/history (tunnel_router.py:203-222):

Leak: Tenant-Filter haengt an if not cu.is_superadmin and cu.tenant_id → ohne X-Tenant-ID (cu.tenant_id=None) kein Filter → alle Mandanten.
Funktionsbug: Filter wird in Python nach dem SQL-LIMIT angewandt (Filter Z.217, LIMIT Z.213) → eigene Liste unvollstaendig.

Fix: Tenant-Constraint in die SQL-WHERE vor LIMIT ziehen (via list_user_accessible_nodes), require_read(), nie ungefiltert. Akzeptanz: ohne Header nur eigene/keine; Eigenliste vollstaendig bis LIMIT.
Verifiziert @ 282b76e.

Teil von #108. **HIGH (Leak + Funktionsbug).** `GET /tunnels/history` (`tunnel_router.py:203-222`): 1. **Leak:** Tenant-Filter haengt an `if not cu.is_superadmin and cu.tenant_id` → ohne `X-Tenant-ID` (`cu.tenant_id=None`) **kein Filter → alle Mandanten**. 2. **Funktionsbug:** Filter wird in Python **nach** dem SQL-`LIMIT` angewandt (Filter Z.217, LIMIT Z.213) → eigene Liste unvollstaendig. **Fix:** Tenant-Constraint in die SQL-WHERE **vor** LIMIT ziehen (via `list_user_accessible_nodes`), `require_read()`, nie ungefiltert. **Akzeptanz:** ohne Header nur eigene/keine; Eigenliste vollstaendig bis LIMIT. Verifiziert @ 282b76e.

chinux added the

bug

label

2026-06-20 14:40:13 +00:00

chinux referenced this issue from a commit

2026-06-20 15:09:57 +00:00

fix(security): tenant-scope /api/updates/history (#111)

chinux referenced this issue

2026-06-20 15:13:27 +00:00

[CRITICAL] Mandantentrennung: 5 History-/Log-Endpoints ohne Tenant-Scope (Cross-Tenant-Leak) #108

chinux commented

2026-06-20 15:13:43 +00:00

Author

Owner

Umgesetzt in d634f79 (Branch security/tenant-scope-108). Test: server/tests/test_tenant_scope.py::test_update_history_scope. Nicht geschlossen — Review durch Sebastian.

Umgesetzt in `d634f79` (Branch `security/tenant-scope-108`). Test: `server/tests/test_tenant_scope.py::test_update_history_scope`. Nicht geschlossen — Review durch Sebastian.

chinux referenced this issue from a commit

2026-06-20 20:58:40 +00:00

fix(security): tenant-scope /api/updates/history (#111)

chinux commented

2026-06-20 20:59:36 +00:00

Author

Owner

Tenant-Scope umgesetzt in a6e324b (in main, deployed). Test test_tunnel_history_scope_and_limit (inkl. LIMIT-Vollständigkeit). Schließe als erledigt.

Tenant-Scope umgesetzt in `a6e324b` (in main, deployed). Test `test_tunnel_history_scope_and_limit` (inkl. LIMIT-Vollständigkeit). Schließe als erledigt.

chinux closed this issue

2026-06-20 20:59:36 +00:00

chinux referenced this issue

2026-06-20 20:59:36 +00:00

[CRITICAL] Mandantentrennung: 5 History-/Log-Endpoints ohne Tenant-Scope (Cross-Tenant-Leak) #108

chinux commented

2026-06-23 22:01:13 +00:00

Author

Owner

Verifiziert @ 6fabc1f → gefixt, wird geschlossen.

tunnel_router.py /tunnels/history: BEIDE Schwächen behoben — Scope jetzt in SQL-WHERE vor LIMIT, kein tenant_id-abhängiges Leck mehr; require_read().

Muster aus #108 korrekt umgesetzt.

**Verifiziert @ 6fabc1f → gefixt, wird geschlossen.** tunnel_router.py `/tunnels/history`: BEIDE Schwächen behoben — Scope jetzt in SQL-WHERE **vor** LIMIT, kein tenant_id-abhängiges Leck mehr; `require_read()`. Muster aus #108 korrekt umgesetzt.