0

Можно прочитать все опубликованные страницы базы знаний по организации :(

Вадим 1 год назад обновлен Peper0oEggs 1 год назад 1

Добрый день!

Любой, у кого есть ссылка на страницу базы знаний, может найти все остальные базы знаний перебором.
Допустим, мы опубликовали небольшую инструкцию как отдельный документ в базе знаний, и передали ссылку на нее своим клиентам, подрядчикам или соискателям. Т.к. ссылка вида https://app.weeek.net/ws/NNNNNN/document/8  (где NNNNNN - это уникальный номер организации в Weeek, а 8 - порядковый номер документа), то любой, у кого есть эта ссылка, может получить доступ к любой другой опубликованной странице. Т.к. это база знаний, то там могут содержаться ссылки на ресурсы, которые используются в работе, скриншоты с учетными записями и т.д., т.е. возможна утечка данных.

Есть предложение разделить публикации на а) доступные всем и б) доступные по ссылке. Если публикуем в доступные всем, то ссылка пусть остается короткой, можно сделать даже чтобы https://app.weeek.net/ws/NNNNNN/ сразу приводила на основную публичную страницу. Если же доступные по ссылке, то нужно добавить в URL случайное число, чтобы нельзя было подобрать (https://app.weeek.net/ws/NNNNNN/document/1241243567734/8)

Теоретически, да, а практически будет сказано, что у вас нет доступа к документу:  

Image 338

Хотя согласен, что порядковые номера в ссылках лучше изменить 

Сервис поддержки клиентов работает на платформе UserEcho