ContentfulプレビューAPIトークンの機密シークレットまたはトークンの公開

説明

ContentfulプレビューAPIトークンのパターンに一致するコンテンツがレスポンス本文に含まれていることが判明しました。プレビューAPIトークンは、Content Delivery API（CDA）と同じ動作とパラメータを維持しますが、エントリとアセットの最新のドラフトを配信します。ContentプレビューAPIは、エントリの最新バージョンを表示するために使用されます。このトークンにアクセスできる悪意のある攻撃者は、公開済みおよび未公開のエントリを表示できます。詳細については、プレビューAPIドキュメントを参照してください。この値を公開すると、攻撃者がこのトークンによって許可されたすべてのリソースにアクセスできるようになる可能性があります。

修正

キーの漏洩に関するセキュリティインシデントの取り扱いに関する一般的なガイダンスについては、GitLabドキュメントのインターネットへの認証情報の公開を参照してください。

プレビューAPIトークンを失効するには:

• サインインしてhttps://app.contentful.com/にアクセスします
• 右上隅にある歯車アイコンを選択し、「APIキー」を選択します
• 検出されたAPIキーを見つけ、APIキーのテーブルで名前を選択します
• 右上隅にある「削除」を選択します
• プロンプトが表示されたら、「削除」を選択します。これにより、配信APIトークンも削除されることに注意してください。

新しいAPIキーのセットを生成する必要があります。

詳細については、認証に関するデベロッパードキュメントを参照してください。

詳細

リンク

• CWE