次の手順でエラーの発生を確認できる。アクセスする主なロールとして、以下の状態がある。オブジェクトを返すことを前提としている。取得できてしまうため、権限を正しく判定できていない。返す値の仕様を変更する。以降と事情が異なるため、この問題の対象ではない(仮に似た問題があったとしても別のものと考えたほうがよい)。確認OpenPNE3.0、3.2、3.4では再現しません。以前では再現しません。関連するバグなのでコメントしておきます。それを想定していないこと)が原因です。利用される危険性があると思われます。これらの影響範囲について他に問題がないかどうか調査する必要がありますが、調査の結果このチケットにある「権限がない場合に白画面になる」だけが問題なのであれば今回の緊急リリースに入れる必要はないと考えます。ago「権限がない場合に白画面になる」だけが問題なのであれば今回の緊急リリースに入れる必要はないと考えます。Issueで対応するが望ましいと思います。ago追加テストメモ¶(違う問題かもしれませんが手順が類似しているため、あえて同じチケットに報告しています)仮登録状態のメンバーにフレンド申請をすると、下記のエラーが発生します。アクセス出来ませんなどのエラーを表示するのが望ましいかと思います。開発期間中のどこかで進める方針で作業をおこないたいです。Issueで対応するが望ましいと思います。対応するのは反対です。今回の緊急リリース後にチケットを公開状態にするというのはどうでしょう。(ただ、この問題を利用した悪用可能な脆弱性が発覚する可能性はあります。とおりこのチケットを公開状態にしました。行ってしまえばよいように思えるが、現状このように実装されている経緯をもう少し追ってみる必要があるかもしれない。文が追加されていても不自然ではないように思える。それを想定していないこと)が原因です。』と示されているように、仮登録状態を考慮し忘れていただけのように見える。追加テストメモ¶(違う問題かもしれませんが手順が類似しているため、あえて同じチケットに報告しています)仮登録状態のメンバーにフレンド申請をすると、下記のエラーが発生します。アクセス出来ませんなどのエラーを表示するのが望ましいかと思います。この差分の間に問題を解消する修正が含まれているかもしれません。行ってしまえばよいように思えるが、現状このように実装されている経緯をもう少し追ってみる必要があるかもしれない。文が追加されていても不自然ではないように思える。それを想定していないこと)が原因です。』と示されているように、仮登録状態を考慮し忘れていただけのように見える。値を返すことによる危険性は残ったままとなります。保存しないという実装をすべきだと考えます。仮登録中にも値を返してしまうことが問題」といったことを言っていますが、少し誤解をしていました。返すことがあったことがエラーの原因でした。触れられていますが、脆弱性として扱うべき問題でもないと判断しています)。仮登録状態のメンバーにも値を返してしまうこれによって、登録済みのメンバーにしか許されない操作(ページの表示など)が、仮登録中のメンバーにもできてしまう問題が生じます。同様で実質的な影響は無いと認識しています。3つの問題に言及していますが、どの問題の修正を以てこのチケットを完了としてよいかが不明瞭になっています。(P2)」を解消するのがよいかと思っています。別チケットで対応した方が個々の問題を扱いやすいのではないかと思っています。保存しないという実装をすべきだと考えます。登録済みのメンバーにのみ値が返るべきであるのに、仮登録状態のメンバーに対しても値を返してしまう」という問題が残ることを認識しました。併せて問題が解消されると認識しています。保存しないという実装をすべきだと考えます。保存しないようにすることの副作用はないか、なぜこれまでは保存していたのか)を明確にしておきたいと思います。関連が無いかを調べる必要があります。示されている内容の以下の項目について同意見であり、とくに認識の違う部分はないことを表明しておきます。関しては詳しく追っていませんが、同時に直るものでなければ別チケット扱いで構わないと思います。どちらの修正方針が適切かという部分だと思います。保存しないようにすることの副作用はないか、なぜこれまでは保存していたのか)を明確にしておきたいと思います。以外から直接参照されることはないため(要確認)、保存しないことによる副作用はないのではないかと思っています。修正方針の方が適切だという意見です。併用で行うのは有効かもしれません。ベースとした具体的な修正方針についてまとめました。