fix(page): server-side cycle check in movePage (RT-21) #67

New Issue

Ghost · 2026-06-21T01:56:56+03:00

Ghost commented

2026-06-21 01:56:56 +03:00

Источник: red-team-аудит, RT-21 (docs/red-team-report.md).

Что происходит

Серверный movePage (apps/server/src/core/page/page.service.ts:949-965) не проверяет, что страницу не двигают внутрь её собственного поддерева. Через MCP/REST/агента (или быстрый drag) можно создать циклическую структуру, которая персистится и рассылается всем.

Фикс

Перед updatePage пройти предков target вверх; если встретили перемещаемую страницу — reject (реюз ancestor-CTE из getPageBreadCrumbs):

// page.service.ts (movePage) — reject a move that would put a page under itself.
// Walk ancestors of the target up to the root; if we hit the moved page, it's a cycle.
if (dto.parentPageId === dto.pageId || ancestorsOf(dto.parentPageId).includes(dto.pageId))
  throw new BadRequestException('Cannot move a page into its own subtree');

Цена / приоритет

+1 ancestor-CTE на move; проверка в сервисе авторитетна для всех путей записи.

**Источник:** red-team-аудит, RT-21 (`docs/red-team-report.md`). ### Что происходит Серверный `movePage` (`apps/server/src/core/page/page.service.ts:949-965`) не проверяет, что страницу не двигают **внутрь её собственного поддерева**. Через MCP/REST/агента (или быстрый drag) можно создать циклическую структуру, которая персистится и рассылается всем. ### Фикс Перед `updatePage` пройти предков target вверх; если встретили перемещаемую страницу — reject (реюз ancestor-CTE из `getPageBreadCrumbs`): ```ts // page.service.ts (movePage) — reject a move that would put a page under itself. // Walk ancestors of the target up to the root; if we hit the moved page, it's a cycle. if (dto.parentPageId === dto.pageId || ancestorsOf(dto.parentPageId).includes(dto.pageId)) throw new BadRequestException('Cannot move a page into its own subtree'); ``` ### Цена / приоритет +1 ancestor-CTE на move; проверка в сервисе авторитетна для всех путей записи.

Ghost added the bug security labels 2026-06-21 02:27:18 +03:00

Ghost referenced this issue from a commit

2026-06-21 03:18:09 +03:00

fix(page): movePage cycle guard + no phantom PAGE_MOVED (#67, #64)

Ghost referenced this issue

2026-06-21 04:19:31 +03:00

fix: review/red-team batch 2 — 30 issues (security, ws, page-templates, html-embed, mcp, tests, docs) #101

Ghost referenced this issue

2026-06-21 05:05:38 +03:00

test: cover movePage server-side cycle guard (#67) #102

Ghost referenced this issue from a commit

2026-06-21 05:49:35 +03:00