Appliquer les ACL de requête pour les liens rapides de la base de connaissances

  • Rversion finale: Zurich
  • Mis à jour 31 juil. 2025
  • 1 minute de lecture

    • Appliquez des ACL de requête pour les liens rapides de la base de connaissances à l’aide d’une propriété système.

    Lorsque la com.glide.security.query_acl.enabled.knowledge_quick_links propriété système est définie sur true, les ACL de requête sont appliquées pour les liens rapides de la base de connaissances. Si cette propriété est définie sur faux, un attaquant peut utiliser des requêtes aveugles pour énumérer et exfiltrer des données en raison du comportement par défaut de GlideRecord.addEncodedQuery.

    Si la propriété n’existe pas dans la table Propriétés système [sys_properties], la valeur par défaut sécurisée True est utilisée. Une troisième option, external_and_guests applique les ACL de requête uniquement pour les utilisateurs externes et les invités.

    Vérifiez que la com.glide.security.query_acl.enabled.knowledge_quick_links propriété système est définie sur true.

    En savoir plus

    Attribut Description
    Nom de la configuration com.glide.security.query_acl.enabled.knowledge_quick_links
    Type de configuration Propriétés système (/sys_properties_list.do)
    Type de données Chaîne : utilisé comme opérateur ternaire
    Valeur recommandée vrai
    Valeur par défaut vrai
    Valeur de secours vrai
    Catégorie Architecture, conception et modélisation des menaces
    Risque de sécurité
    • Score de gravité : 5,3
    • Score CVSS : moyen
    • Risque de sécurité : les ACL peuvent être contournées, ce qui divulgue les données du champ aux utilisateurs qui n’ont pas l’autorisation de les voir. Cette divulgation pourrait inclure des données sensibles selon la table exploitée.
    Impact fonctionnel Les utilisateurs ne sont pas en mesure d’effectuer des requêtes spécifiques sur les champs auxquels ils n’ont pas accès au niveau du champ.
    Dépendances et prérequis Aucun

    Pour en savoir plus sur l’ajout ou la création d’une propriété système, reportez-vous à la section Add a system property.