jesse-a/OpenCRM
1
0
Fork 0
Code Issues 1 Pull requests Projects Releases 1 Packages Wiki Activity Actions

Fiatteur-actions omzeilden MFA + resendApproverMail had geen rol-check #99

New issue
Closed
opened 2026-05-26 18:23:33 +00:00 by jesse-a · 1 comment
jesse-a commented 2026-05-26 18:23:33 +00:00
Owner
Copy link

Severity: HIGH

src/app/actions/expense-approval.ts gebruikte requireSession() voor approveExpense, rejectExpense en resendApproverMail — dat checkt geen MFA. Approve/reject controleerden wel user.isApprover, maar resendApproverMail checkte zelfs geen rol/fiatteur-status. Een willekeurige ingelogde VIEWER zonder MFA kon dus fiatteurs-mail-keten van een willekeurige inkoop triggeren (mail-spam-vector + informatie-onthulling over inkoop-IDs).

Fix:

  1. approveExpense + rejectExpense gebruiken nu assertCanWrite() (= MANAGER + MFA).
  2. resendApproverMail gebruikt nu assertCanWrite() ÉN checkt dat de aanroeper fiatteur of admin is, anders throw.

Files: src/app/actions/expense-approval.ts

**Severity: HIGH** `src/app/actions/expense-approval.ts` gebruikte `requireSession()` voor `approveExpense`, `rejectExpense` en `resendApproverMail` — dat checkt geen MFA. Approve/reject controleerden wel `user.isApprover`, maar `resendApproverMail` checkte zelfs geen rol/fiatteur-status. Een willekeurige ingelogde VIEWER zonder MFA kon dus fiatteurs-mail-keten van een willekeurige inkoop triggeren (mail-spam-vector + informatie-onthulling over inkoop-IDs). **Fix**: 1. `approveExpense` + `rejectExpense` gebruiken nu `assertCanWrite()` (= MANAGER + MFA). 2. `resendApproverMail` gebruikt nu `assertCanWrite()` ÉN checkt dat de aanroeper fiatteur of admin is, anders throw. **Files**: src/app/actions/expense-approval.ts
jesse-a commented 2026-05-26 18:23:33 +00:00
Author
Owner
Copy link

Opgelost in commit 8e18add.

Opgelost in commit 8e18add.
Sign in to join this conversation.
No Branch/Tag specified
Branches Tags
main
v1.0.0
v0.11
v0.10
v0.9
v0.8
v0.7
v0.6
v0.5
Labels
Clear labels   
deferred
Known issue, deferred

  
fixed
Resolved

  
security
Security review finding

  
severity-high
High severity

  
severity-low
Low severity

  
severity-medium
Medium severity

No labels
deferred
fixed
security
severity-high
severity-low
severity-medium
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference
jesse-a/OpenCRM#99
No description provided.