search

bme-db-lab / szglab5-frontend

Szglab5 Frontend
0 stars 1 forks source link

Autorizáció hiánya /api/users/<id> végponton #118

Closed dnet closed 6 years ago

dnet commented 6 years ago

Hallgatói jogosultsággal is lekérhető más hallgatókhoz tartozó rekord a /api/users/<id> végponton át. Mivel az azonosító egyszerű futó sorszám, így triviális végigpörgetni őket. Ráadásul a /api/exercise-types/<id> végponttól megkaphatja a hallgató a saját feladatsorához tartozó összes többi hallgató azonosítóját, így máris megvan a recept arra, kit keressünk fel egy kis plagizálásra...

lordblendi commented 6 years ago

Nem frontend bug, attettem backendre.