מאת George Curta ·
כתובת ה-API של השרת האחורי נדחתה (רשימת היתרים SSRF)
האפליקציה מסרבת לשמור כתובת API של שרת אחורי, או שבקשות נכשלות עם שגיאת כתובת URL לא מורשית.
מדוע זה קורה
שתי האפליקציות מאמתות את כתובת ה-API המוגדרת של השרת האחורי מול רשימת היתרי מארחים המאומתת בזמן ריצה (UrlGuard) לפני ביצוע כל בקשה. הגנת SSRF זו קיימת כדי שכתובת URL זדונית או מוגדרת שגוי לעולם לא תוכל לגרום לאסימון ה-Bearer של האפליקציה להגיע למארח הנשלט על ידי תוקף. רק anonym.legal ו-anonymize.business (מארח ה-DEV) מותרים — כל מארח אחר נדחה, בכוונה.
כיצד לתקן
- 1.השתמשו בדיוק ב-https://anonym.legal (ייצור) או ב-https://anonymize.business (DEV) ככתובת ה-API של השרת האחורי.
- 2.הסירו כל נתיב, פורט או שגיאת הקלדה נוספים מכתובת ה-URL — רשימת ההיתרים תואמת בדיוק לשם המארח.
- 3.אם אתם סבורים שמארח לגיטימי נדחה, פנו לתמיכה — רשימת ההיתרים אינה ניתנת לעריכה על ידי המשתמש בכוונה.
הודעת "גרסה חדשה זמינה"
הגדרות המנהל של האפליקציה מציגות הודעה שקיימת גרסה חדשה יותר.
מדוע זה קורה
שתי האפליקציות בודקות מעת לעת אם קיימת גרסה חדשה יותר ומציגות הודעת מנהל פשוטה עם קישור לרשימת השינויים כאשר יש כזו זמינה. זוהי הודעת שדרוג ידני, לא עדכון אוטומטי — שום דבר לא מותקן מעצמו במופע ה-Nextcloud שלכם.
כיצד לתקן
- 1.עקבו אחר קישור רשימת השינויים בהודעה כדי לראות מה השתנה.
- 2.הורידו את ארכיון האפליקציה החדש (או הארכיונים) מעמוד GitHub releases.
- 3.חלצו לתיקיית apps/ והריצו occ upgrade — אותם שלבי התקנה ידניים כמו בהתקנה הראשונית — בזמן שאתם בוחרים.
שגיאת 403: "תוכנית Basic ומעלה"
קריאות API מהאפליקציה נכשלות עם סטטוס 403 והודעה בנוגע לדרישת תוכנית Basic ומעלה.
מדוע זה קורה
שתי אפליקציות ה-Nextcloud דורשות חשבון anonym.legal בתוכנית Basic ומעלה. התוכנית החינמית אינה כוללת את גישת ה-API שבה תלויות אפליקציות אלו, לכן השרת האחורי מחזיר 403 עם ההודעה "Nextcloud integration requires Basic plan or higher. Please upgrade your plan." במקום כישלון שקט.
כיצד לתקן
- 1.אשרו לאיזה חשבון anonym.legal שייך האסימון המוגדר.
- 2.שדרגו את החשבון הזה לתוכנית Basic ומעלה.
- 3.נסו את הבקשה שוב — אין צורך בהתקנה מחדש או בהגדרה מחדש לאחר שהחשבון שודרג.
אסימון האינטגרציה אינו יכול לקרוא מפתחות הצפנה — האם זה באג?
בקשה המנסה לאחזר חומר מפתח מפוענח באמצעות האסימון המוגדר נדחית.
מדוע זה קורה
לא — זה מכוון. האסימון שבו משתמשות אפליקציות אלו הוא אסימון בהיקף אינטגרציה, המוגבל בכוונה יותר מאסימון API מלא של חשבון: הוא יכול לנתח ולבצע אנונימיזציה לתוכן, אך כל נקודת קצה שהייתה מחזירה חומר מפתח מפוענח מחזירה 403 לאסימון בהיקף אינטגרציה, כך שלעולם לא ניתן יהיה להשתמש בשרת Nextcloud שנפרץ כדי לפענח את היסטוריית ההצפנה ההפיכה שלכם.
מה לעשות
- 1.זוהי התנהגות צפויה, לא באג לתיקון — האפליקציות לעולם אינן זקוקות לחומר מפתח מפוענח עבור זרימת העבודה שלהן של ניתוח/אנונימיזציה/ביטול אנונימיזציה.
- 2.אם זרימת עבודה זקוקה באמת לגישה מלאה לחשבון, השתמשו באסימון API בהיקף מלא מחוץ לאפליקציות אלו, בסביבה שאתם שולטים בה.