Segnalazione #50
Appunatmenti con docenti impropri
0%
Description
Un utente che abbia grado di accesso 'parent' di un qualsiasi alunno di una qualsiasi classe, modificando l'indirizzo della pagina di prenotazione può avere accesso a qualsiasi docente.
Esempio:
Il genitore vuole prenotare un udienza con il docente di Fisica. Dalla home /hearings/patent seleziona l'insegante. Viene indirizzato a /hearings/book_appointment/16 . Modificando l'ID (16) con un qualsiasi altro numero si può avere accesso ad altri docenti, anche non della classe di appartenenza.
Associated revisions
History
Updated by Christopher R. Gabriel over 8 years ago
Updated by - Status changed from Nuovo to Commenti
- Assignee changed from Christopher R. Gabriel to Marco Marinello
Puoi darmi indicazione su istanza utilizzata e utente, per verificare anche la configurazione impiegata?
Updated by Marco Marinello over 8 years ago
Updated by Il test è stato effettuato con il mio account sul sito delle udienze del Liceo Torricelli
Updated by Christopher R. Gabriel over 8 years ago
Risolto in 25e21e9a
Puoi darmi conferma, se tutto ok chiudi pure il ticket (pero' riassegnamelo la prossima volta che mi rispondi, altrimenti non me ne accorgo che c'e' qualcosa per me... :) )
Updated by Marco Marinello over 8 years ago
- Status changed from Commenti to Chiuso
- Resolution set to fixed
Confermo, problema risolto.
refs #50