swisstopo / swissgeol-boreholes-suite

Bohrdatenmanagementsystem (BDMS)
MIT License
4 stars 1 forks source link

Fehlende Authorisierung beim Löschen von Bohrprofilen #1422

Open flenny opened 1 month ago

flenny commented 1 month ago

Beim Löschen von Bohrprofilen wird nicht geprüft, ob der Benutzer die entsprechenden Rechte für die Bohrung/Workgroup besitzt. Die genauen Anforderungen, welche Benutzer/Rollen abhängig von Workgroup berechtigt sind, müssen noch definiert werden. Aktuell ist es möglich, dass ein für die Applikation berechtigter Benutzer (Viewer-Rechte) über die API sämtliche Attachments löschen kann.

Bei der Umsetzung muss sichergestellt werden, dass die Einschränkungen auf dem UI (bspw. kann ein Benutzer mit VIEW-Berechtigung keine Attachments löschen), auch auf der API entsprechend implementiert sind.