Практическая защитная проверка Decidim CSV Census по ghsa-q79h-67vx-m9xg: применимость, обратимый тест границы «admin-only authorization для create, update и delete census records», измеримый результат и stop-rule без production-данных.
Применимость к Decidim CSV Census
До теста зафиксируйте provenance компонента: digest, способ установки, runtime-версию и активную ветвь конфигурации. Для границы «admin-only authorization для create, update и delete census records» запишите версию живого процесса, build digest, источник пакета, включённую функцию и субъект, который вызывает этот путь. Reviewed Advisory перечисляет границы «decidim-verifications < 0.30.9; first patched 0.30.9 | decidim-verifications >= 0.31.0.rc1, < 0.31.5; first patched 0.31.5 | decidim-verifications >= 0.32.0.rc1, < 0.32.0; first patched 0.32.0», однако запись в manifest ещё не доказывает установленную версию и reachability. Если provenance неполон, оставьте статус unknown. Not-applicable допустим только при доказанной версии вне affected range или документированно выключенной функции. Не переносите severity из advisory на свою среду без этих двух доказательств.
Что подтверждает GHSA-q79h-67vx-m9xg
GitHub Reviewed Advisory опубликована 2026-07-13, обновлена 2026-07-13 и описывает для Decidim CSV Census механизм: Decidim: CSV census record endpoints improper authorization. Подтверждённая package boundary: «decidim-verifications < 0.30.9; first patched 0.30.9 | decidim-verifications >= 0.31.0.rc1, < 0.31.5; first patched 0.31.5 | decidim-verifications >= 0.32.0.rc1, < 0.32.0; first patched 0.32.0». Upstream-репозиторий https://github.com/decidim/decidim связывает запись с исходным проектом, но сам по себе не сообщает состояние конкретного развёртывания. Даты, summary и диапазоны взяты с прямой advisory-страницы https://github.com/advisories/GHSA-q79h-67vx-m9xg, а не из поискового сниппета. Эти источники не доказывают эксплуатацию, ущерб, популярность запроса, индексацию или позицию страницы.
Отдельная пользовательская боль и доказательство
Здесь проверяется ровно одна боль: participant manager с более узкой ролью может открыть admin forms и изменить строки census. До любого запуска создайте артефакт «матрица role / action / form-visible / policy-decision / row-delta» и заранее определите допустимые значения каждой колонки. Normal-control должен пройти на той же сборке, с теми же лимитами и через тот же кодовый путь. Один status code, исключение или отсутствие записи не является доказательством: нужны expected result, observed result, конфигурационная ветвь и cleanup. Маркеры не должны содержать токены, IP, реальные имена, документы, логи или внутренние адреса.
Безопасный обратимый тест
Подготовьте временная census table с одной dummy row, full admin и participant manager без реальных участников. Затем нужно проверить index и dry-run update отсутствующей строки для двух ролей, затем сравнить row count и policy result. Заранее заданный защитный исход: full admin проходит, participant manager получает отказ до формы и persistence, row-delta остаётся нулевым. Выполняйте опыт только локально или в одноразовой среде с пределами wall-time, CPU, памяти, файлов, сокетов и количества запросов. Не используйте production secrets, пользовательские данные, внешние цели или инструкции, пригодные для вторжения. Все markers остаются синтетическими, поэтому результат можно передать поддержке без пользовательского содержимого. После проверки удалите fixtures, повторите normal-control и сравните итоговый digest с baseline.
Решение по наблюдаемым результатам
Passed фиксируется, когда одновременно выполнено: full admin проходит, participant manager получает отказ до формы и persistence, row-delta остаётся нулевым; normal-control сохранил ожидаемое поведение; cleanup вернул исходное состояние. Failed требует повторяемого расхождения на том же fixture и той же версии. Unknown остаётся при нестабильном trace, неполном provenance или неясной конфигурации. Результат оформляют как «матрица role / action / form-visible / policy-decision / row-delta», чтобы другой инженер мог проверить вывод без догадок. Не расширяйте вывод с одной границы на всю систему и не обещайте абсолютную защищённость после одного опыта.
Стоп-правило, обновление и пакет поддержки
Критерий остановки задаётся до запуска: остановиться и откатить fixture при любом persistence call от participant manager. Если runtime входит в affected range, получите обновление только из доверенного канала upstream https://github.com/decidim/decidim, зафиксируйте новый digest и повторите тот же fixture с прежними лимитами. Новый сценарий не подтверждает исправление старого. В обезличенный пакет поддержки включите runtime version, package boundary, конфигурационную ветвь, expected/observed, resource limits, timestamps, error class и хэши fixtures. Исключите credentials, cookies, абсолютные пути, внутренние hostname и содержимое данных.
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые ссылки, безопасный опыт, privacy-ограничения и отсутствие рекламных обещаний затем перепроверены по первичным источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-q79h-67vx-m9xg проверено 2026-08-31
- Upstream-репозиторий Decidim CSV Census проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.