Server Action ohne Zugriffsprüfung
Prüfregel · RSC-SEC-058
- Sicherheit
- Schweregrad: Hoch
- CWE-862
- OWASP A01-2021
Wertet den Körper jeder `"use server"`-Funktion aus, die schreibend auf die Datenbank zugreift, und meldet fehlende Identitätsprüfung — Server Actions sind öffentliche Endpunkte.
Prüfstufe
- Quellcode aus Source Maps
- Repo-Zugang (Deep-Scan)
So behebt ihr es
Am Anfang jeder Action Benutzer laden, Rolle prüfen und bei Fehlen abbrechen.