En la imagen adjunta subrayo y marco las dos formas de acceder a las otras peticiones.
Error grave permisos de usuario. V7.0.1
Error grave permisos de usuario. V7.0.1
Estando en una solicitud de días libres, si cambiamos en la url (adjunto captura) el número por el de otra solicitud, podemos acceder a la solicitud de otro usuario.
En la imagen adjunta subrayo y marco las dos formas de acceder a las otras peticiones.
En la imagen adjunta subrayo y marco las dos formas de acceder a las otras peticiones.
Última edición por franreyes el Sab, 12/05/2018, 08:20, editado 1 vez en total.
Buenos días;
Yo si intento entrar por url en la ficha de usuario de otro usuario no me deja.
Y si intento consultar el usuario desde la ficha de días libres tampoco me deja...
¿Tienes bien configurados los permisos de usuario tanto para la gestión de usuarios como del módulos de RRHH?
¿Podrías pasar captura desde donde usas la flechas avance /retroceso o pasar la url que escribes?
Un saludo.
Yo si intento entrar por url en la ficha de usuario de otro usuario no me deja.
Y si intento consultar el usuario desde la ficha de días libres tampoco me deja...
¿Tienes bien configurados los permisos de usuario tanto para la gestión de usuarios como del módulos de RRHH?
¿Podrías pasar captura desde donde usas la flechas avance /retroceso o pasar la url que escribes?
Un saludo.
Ha ocurrido al actualizar de una 5.0.4 a la 7.0.1. Estando en una solicitud de días libres, si cambiamos en la url (adjunto captura) el número por el de otra solicitud, podemos acceder aun siendo de otro usuario.
En la imagen adjunta subrayo y marco las dos formas de acceder a las otras peticiones.
Gracias por contestar
[img]https://image.ibb.co/dfVrYy/captura.jpg[/img]
En la imagen adjunta subrayo y marco las dos formas de acceder a las otras peticiones.
Gracias por contestar
[img]https://image.ibb.co/dfVrYy/captura.jpg[/img]
El error no es ver la ficha de otro usuario, si no ver la solicitud de vacaciones de otro usuario modificando el id de la url correspondiente a la petición o mediante las flechas de desplazamiento lateral.
He revisado el código y he podido solucionarlo modificando la línea 1027 de << /holiday/card.php >> :
<< if ($cancreate && ($user->id == $object->fk_user || $user->rights->holiday->write_all || $user->id == $object->fk_validator)) >>
la línea original era
<< if ($cancreate) >>
He añadido verificación que comprueba si el usuario logueado puede ver la ficha (ya sea propietario, admin o validador)
Aclarar que el título de este post no es correcto, se trata de un error de desarrollo y no de cambios en los permisos del usuario en la bbdd.
Espero que podáis ver el error, es bastante grave y no cumpliría con protección de datos
Un saludo,
He revisado el código y he podido solucionarlo modificando la línea 1027 de << /holiday/card.php >> :
<< if ($cancreate && ($user->id == $object->fk_user || $user->rights->holiday->write_all || $user->id == $object->fk_validator)) >>
la línea original era
<< if ($cancreate) >>
He añadido verificación que comprueba si el usuario logueado puede ver la ficha (ya sea propietario, admin o validador)
Aclarar que el título de este post no es correcto, se trata de un error de desarrollo y no de cambios en los permisos del usuario en la bbdd.
Espero que podáis ver el error, es bastante grave y no cumpliría con protección de datos
Un saludo,