ContentAction.getFromFengMian接口存在权限检查缺失的问题

[HRsGIT]

ContentAction.getFromFengMian接口存在权限检查缺失的问题

net.mingsoft.cms.action.getFromFengMian接口缺失权限检查（即 @RequiresPermissions("cms:content:view")注解），导致没有"cms:content:view"权限的用户也可以获取文章列表。

// file: src/main/java/net/mingsoft/cms/action/ContentAction.java
    
/**
 * 获取文章
 *
 * @param content 文章实体
 */
@Operation(summary =  "根据封面获取文章列表接口")
@Parameter(name = "categoryId", description = "分类编号", required =  true, in = ParameterIn.QUERY)
@GetMapping("/getFromFengMian")
@ResponseBody
public ResultData getFromFengMian(@ModelAttribute @Parameter(hidden = true) ContentEntity content) {
    if (StringUtils.isBlank(content.getCategoryId())) {
        return ResultData.build().error(getResString("err.empty", this.getResString("category.id")));
    }
    List<ContentEntity> list = contentBiz.lambdaQuery().eq(ContentEntity::getCategoryId, content.getCategoryId()).list();
    if (list.size() > 1) {
        LOG.error("获取封面文章异常");
    }
    return ResultData.build().success(list.size() > 0 ? list.get(0) : null);
}

漏洞复现

1. 首先注册一个没有"cms:content:view"权限的角色，low_role

2. 之后，为角色low_role创建一个用户

3. 验证用户角色设置成功：通过net.mingsoft.cms.action.list接口访问文章信息，发现没有权限

4. 通过net.mingsoft.cms.action.getFromFengMian接口，通过填入封面id获取文章列表信息，说明该接口不存在权限检查