CVE-2026-49473

@cedar-policy/authorization-for-expressjs açıq mənbəli Express.js middleware-dir ki, HTTP sorğularını Cedar əməliyyatlarına uyğunlaşdırmaqla və sorğuların icrasına icazə verməzdən əvvəl avtorizasiya siyasətlərini qiymətləndirməklə Cedar avtorizasiyasını Express tətbiqlərinə inteqrasiya edir. 0.3.0-dan əvvəlki versiyalarda müəyyən şəraitdə middleware daxil olan sorğuları Cedar əməliyyat uyğunlaşdırmaları ilə req.originalUrl istifadə edərək müqayisə edir, halbuki req.originalUrl sorğu sətrini ehtiva edir, Express isə marşrutlaşdırma üçün yalnız yol komponentindən istifadə edir. Middleware daxil olan sorğuları Cedar əməliyyat uyğunlaşdırmaları ilə müqayisə etmək üçün req.originalUrl istifadə edir. Express-də req.originalUrl sorğu sətrini ehtiva edir, marşrut uyğunlaşdırması isə yalnız yoldan istifadə edir. Bu, Cedar-ın avtorizasiya etdiyi ilə Express-in icra etdiyi arasında fərq yaradır. Tətbiq müxtəlif avtorizasiya tələbləri ilə üst-üstə düşən yol prefiksləri üçün ayrı-ayrı əməliyyatlar təyin etdikdə (məsələn, bütün istifadəçilərin siyahıya alınması üçün yalnız admin girişi ilə GET /users və tək istifadəçinin əldə edilməsi üçün istənilən autentifikasiya olunmuş istifadəçi girişi ilə GET /users/{id}), aktor daha məhdudlaşdırıcı siyasətdən yan keçmək üçün sorğu sətri əlavə edə bilər. GET /users/?x=1 göndərilməsi middleware-in /users/{id} ilə (id parametri ?x=1 olaraq təyin edilmiş) uyğunlaşmasına və daha az məhdudlaşdırıcı əməliyyatı qiymətləndirməsinə səbəb olur, Express isə sorğunu /users siyahı işləyicisinə yönləndirir. Bu, daha məhdudlaşdırıcı endpoint-ə qeyri-münasib girişə imkan verir. Bu problem 0.30 versiyasında həll edilmişdir. Bəzi iş ətrafı həllər mövcuddur. Daxil olan sorğu yollarını avtorizasiya middleware-inə çatmazdan əvvəl doğrulayın və təmizləyin. Tətbiqlərin müxtəlif icazə səviyyələri ilə üst-üstə düşən yol prefiksləri üzərində çoxsaylı əməliyyatlar təyin edərkən avtorizasiya üçün yalnız middleware-ə güvənmədiyinə əmin olun.