Eksik yetkilendirme (ARCH2120)

Anahtar python.security.missing-authorization · Önem warning · Kategori security · CWE CWE-862

Hassas bir eylemi yetkilendirme koruması olmadan sunmak, herhangi bir kullanıcının korunması gereken işlemleri çağırmasına olanak tanır. Her duyarlı uç nokta erişimi açıkça kontrol etmelidir.

Hatalı

@app.route("/admin/users/<int:uid>", methods=["DELETE"])
def delete_user(uid):
    User.query.filter_by(id=uid).delete()
    return "", 204

Doğru

@app.route("/admin/users/<int:uid>", methods=["DELETE"])
@login_required
@admin_required
def delete_user(uid):
    User.query.filter_by(id=uid).delete()
    return "", 204

Düzeltme

Durum değiştiren ve hassas uç noktalara açık kimlik doğrulama ve yetkilendirme koruması ekleyin.