• 15 апреля стартует «Курс «SQL-injection Master» ©» от команды The Codeby

    За 3 месяца вы пройдете путь от начальных навыков работы с SQL-запросами к базам данных до продвинутых техник. Научитесь находить уязвимости связанные с базами данных, и внедрять произвольный SQL-код в уязвимые приложения.

    На последнюю неделю приходится экзамен, где нужно будет показать свои навыки, взломав ряд уязвимых учебных сайтов, и добыть флаги. Успешно сдавшие экзамен получат сертификат.

    Запись на курс до 25 апреля. Получить промодоступ ...

Нарушение Прав Доступа При Непосредственном Удалении

  • Автор темы Истребитель
  • Дата начала
И

Истребитель

Добрый день!

Платформа 8.1, база кастомная Управление Торговлей 10.3

В ней написан свой тривиальный документ (один реквизит - контрагент и простая табличная часть - номенклатура и несколько строк и чисел в каждой строке, проводок документ не делает, только в коде формы по нажатию кнопки пшиет в независимый регистр сведений, состоящий из одного измерения-строка и ресурса-ссылка на номенклатуру).

На документ все права (ВСЕ галочки) даны роли, которая есть у пользователя. Пользователь при попытке непосредственно удалить документ получает "Нарушение прав доступа". Однако с полными правами ошибка не появляется. Никак отследить причину невозможно - никакого "подробнее" в окошке с ошибкой нет, в журнале регистрации ошибка не регистрируется.

Подписок на событие "ПередУдалением" для данного типа документов в базе нет. Модуль документа пуст.

Как можно выяснить, что мешает пользователю удалить документ?
 
Д

Дайнеко

А могут быть права у пользователя, определяющие общие действия: административные, работа с БД? Может право непосредственного удаления (не привязанное к конкретным док-ам) входит в число таких?
 
И

Истребитель

Проверил. Дал роли пользователя все права (втч Администрирование и Журнал Регистрации, которых у него не было) - не помогло :(
 
P

puh14

Обработкой "найти ссылки на объект" найдите все объекты/регистры и т.п., в которых есть данный документ. И попробуйте ручками удалить данные из каждого из них.
 
И

Истребитель

Спасибо! Это уже что-то. Нашлась ссылка "ОбъектыДоступаДокументов - Имя_документа_полное". Открыть её нельзя. Что это такое может быть и что за код в базе это делает (сам документ вроде, насколько читаю его код, никуда ничего не пишет кроме неподчиненного регистра сведений)?
 
P

puh14

Есть еще подписки на события, там запросто может писать. Или какая-то из общих процедур. Значит перед удалением надо очищать ссылки на этот документ в регистре сведений ОбъектыДоступаДокументов.
 
И

Истребитель

Подписок нет, но суть понял, буду копать. Спасибо.
 
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!