[4.2]ファイルアップロード可能な機能を制限するオプションを追加

[nanasess]

概要(Overview・Refs Issue)

• ファイルアップロードが可能な機能を無効化するオプション #5059
• 悪意のあるユーザーがファイルのアップロード機能を悪用して攻撃するケースがあるため、ファイルアップロード可能な機能及び、JavaScript などのコンテンツを変更可能な機能を無効化して防御できるようにする

方針(Policy)

• ECCUBE_RESTRICT_FILE_UPLOAD を 1 にすることで以下、ファイルアップロード及びコンテンツの変更が可能な機能を制限する -
  • ファイル管理(admin_content_file)
  • 独自プラグインインストール(admin_store_plugin_install)
  • ページ編集(admin_content_page_new, admin_content_page_edit)
  • ブロック編集(admin_content_block_new, admin_content_block_edit)
  • CSS編集(admin_content_css)
  • JavaScript 編集(admin_content_js)
  • テンプレートインストール(admin_store_template_install)
• このオプションが無効な場合、該当の機能へアクセスすると この機能の利用頻度が低い場合、使用しない間は無効化することでセキュリティを更に向上させることができます。環境変数 ECCUBE_RESTRICT_FILE_UPLOAD を 1 に設定することで機能を無効化することが可能です。 という情報メッセージを表示する

実装に関する補足(Appendix)

テスト（Test)

E2Eテストを追加

相談（Discussion）

マイナーバージョン互換性保持のための制限事項チェックリスト

• 既存機能の仕様変更はありません
• フックポイントの呼び出しタイミングの変更はありません
• フックポイントのパラメータの削除・データ型の変更はありません
• twigファイルに渡しているパラメータの削除・データ型の変更はありません
• Serviceクラスの公開関数の、引数の削除・データ型の変更はありません
• 入出力ファイル(CSVなど)のフォーマット変更はありません

レビュワー確認項目

• 動作確認
• コードレビュー
• E2E/Unit テスト確認(テストの追加・変更が必要かどうか)
• 互換性が保持されているか
• セキュリティ上の問題がないか
  • 権限を超えた操作が可能にならないか
  • 不要なファイルアップロードがないか
  • 外部へ公開されるファイルや機能の追加ではないか
  • テンプレートでのエスケープ漏れがないか

[chihiro-adachi]

確認しました。
問題ありません。