search

gems-uff / sapos

SAPOS main goal is to ease the management of information related to graduate programs such as enrollments, courses, advisement, scholarships, requirements, among others.
http://gems-uff.github.io/sapos/
MIT License
28 stars 14 forks source link

Alerta de segurança para vulnerabilidade da gem devise #290

Closed Carlos-Eduardo-Cabral-da-Cunha closed 5 years ago

Carlos-Eduardo-Cabral-da-Cunha commented 5 years ago

A página github do sapos alertou sobre uma vulnerabilidade de segurança da gem devise menor que a versão 4.6.0 (A instalada no momento dessa issue é a 4.3.0). Ele sugeriu a inclusão da nova versão no arquivo Gemfile.

Detalhes sobre a vulnerabilidade: https://github.com/plataformatec/devise/issues/4981

Carlos-Eduardo-Cabral-da-Cunha commented 5 years ago

O arquivo Gemfile foi atualizado para a gem devise. O comando bundle install atualizou automaticamente algumas gems da qual o devise depende.

braganholo commented 5 years ago

Testei e obtive um erro. Consegui fazer o login sem problemas. Fui na tela de usuários, e tentei trocar o papel de um determinado usuário. O sistema lançou erro dizendo:

Mysql2::Error: Column 'encrypted_password' cannot be null: UPDATE users SET role_id = 4, encrypted_password = NULL, updated_at = '2019-03-22 15:41:14' WHERE users.id = 74

Note que não deveríamos exigir a senha para trocar o papel do usuário, uma vez que não sabemos as senhas dos usuários (e nem deveríamos saber).

Carlos-Eduardo-Cabral-da-Cunha commented 5 years ago

A gem devise, da versão 4.5.0 para a 4.6.0, teve uma modificação que causou problemas de compatibilidade em algumas aplicações. Com isso os desenvolvedores do devise resolveram reverter a modificação na versão 4.6.2.

Alguns detalhes sobre a modificação da devise pode ser visto no link: https://github.com/plataformatec/devise/issues/5033#issuecomment-476386275