Forum GestSup

Bonjour,

Mes techniciens n'ont pas accès à tous les billets, seulement les leurs (Section "Vos Tickets").

Par contre, si je copie/colle le URL complet de la section "Tous les Tickets" via un compte admin sur la session d'un technicien, il tombe sur la page "Tous les tickets" et peut donc tout voir...
Et puis je me demande pourquoi Gestsup utilise $_GET ou lieu de $_POST pour justement éviter ce genre de problème très facilement exploitable.

Pareil pour l'icône "Activité" qui liste les billets qu'ils ne sont pas supposé voir.

Merci.

Bonjour,

pouvez vous préciser la version utilisée et reproduire la configuration sur la webdemo pour observer le problème.

Cdt

Je n'y avait pas pensé, mais la démo roule en 3.1.39 et moi en 3.1.35.

La démo semble afficher le bon correctement, je vais mettre à jour ma version.
Merci et désolé du dérangement

Bonjour,

Je ne pense pas qu'il s'agisse plutôt d'un problème de paramétrage.

Essayé de mettre a jour dans la dernière version stable, si le problème se reproduis il faudra détaillé les droits que vous avez modifié.

Cdt

Edited: pas totalement

Bonjour,

merci pour votre analyse pouvez vous tester d'appliquer le patch en pièce jointe sur votre version 3.1.37.

Cdt

Cette patch semble fonctionner pour empêcher les utilisateurs de changer le userID pour voir les billets des autres.
Gros merci pour ce support plus que rapide!

Bonjour,

pouvez-vous reproduire le problème sur la webdemo et nous indiquer les étapes, car de mon côté je ne note pas de dysfonctionnement.

Cdt

Bonjour,

Pouvez vous indiquer les étapes pour reproduire le problème sur la webdemo.

Cdt