Security-Hardening Runde 10: Pentest Runde 6 (8 Findings + struktureller Audit-Sweep)
KRITISCH:
- emails/:id/thread bekommt canAccessCachedEmail
- customers/:customerId/representatives/search bekommt canAccessCustomer
(Buchstaben-Brute-Force konnte sonst die Kunden-DB enumerieren)
HOCH:
- birthdays/upcoming: Portal-User → 403 (Name/E-Mail/Telefon/Geb-Datum
aller Kunden leakte)
- contracts/:id/history (GET/POST/PUT/DELETE) bekommt canAccessContract
- mailbox-accounts / unread-count / contracts/:id/emails/folder-counts
bekommen canAccessCustomer bzw. canAccessContract
- Vertreter-Vollmacht-Check ist jetzt live: neuer Helper
getPortalAllowedCustomerIds() in accessControl.ts ruft
hasAuthorization() für jedes vertretene Customer ab. Eingesetzt in
getTasks/createSupportTicket/createCustomerReply/getAllTasks/
getTaskStats und updateCustomerConsent. Widerrufene Vollmachten
haben jetzt SOFORT keinen Zugriff mehr (vorher: bis JWT abläuft).
MITTEL:
- confirmPasswordReset speichert portalPasswordEncrypted nicht mehr
beim Self-Service-Reset (war nur für Admin-OTPs gedacht); +
portalPasswordMustChange=false explizit
- getCustomers pagination total reflektiert jetzt nur erlaubte IDs
(über DB-Filter in customerService.getAllCustomers)
Audit-Sweep (defense in depth, falls Rolle versehentlich Update-
Permissions bekommt):
- 16 cachedEmail-Operationen (markAsRead, toggleStar, assign/unassign,
save-as-pdf/invoice/contract-document, save-to, attachment-targets,
trash-ops)
- 4 contract-Operationen (createFollowUp, createRenewal, snoozeContract,
removeContractMeter)
- 12 sub-CRUD-Operationen (address/bankcard/document/meter
update+delete, meter-reading add/update/delete/transfer)
- 2 representative-Operationen (add/remove)
Live-verifiziert: Portal-Customer-3 auf alle fremden IDs → 403,
Admin sieht alles, eigene Ressourcen weiterhin 200, Customer 1 mit
widerrufener Vollmacht für Customer 3 → 0 fremde Verträge in der
Response.
Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
duffyduck
a982795388