「他の生徒の受検結果が見える」Z会が謝罪 教師用画面のコードを生徒用に転用してミス

Z会グループのZ会ソリューションズはこのほど、生徒がチームで取り組む力を測るテスト「DiscoveRe Method」のWebシステムで2021年7月以降、生徒が受検結果を確認する画面から、他の受検者の結果が見える状態になっていたとし、謝罪した。 システム開発委託先が、教師（管理者）用の画面のソースコードを転用して受検者用画面を作った際、不要なコードを一部削除し忘れたことが原因という。 受検結果画面に表示される、全体傾向と個人の結果を表す散布図で、ソースコードを表示してさらに詳細を表示していくと、同じグループ（学校単位など）で受検した他の受検者の氏名とスコアの確認が可能になっていたという。 システムを刷新した2021年7月22日以降に受検した20団体4057人で、同じグループに属する受検者（最大65人）の情報を閲覧できる状態だった。 10月4日に顧客から連絡があり、システム開発、保守・運用

[kanflu]

コピペの問題ではなく根本的に権限の管理ができてない設計の問題のような気がする

[rryu]

JSONに個人情報が入っていたパターンだろう。単体テストで担保すべき内容なので委託先がさぼると漏れてしまうのだが、こういうのは定型なセキュリティ検査で検出できるものなのだろうか。

[hatest]

「ソースコードを表示してさらに詳細を表示していく」の意味が分からない

[fashi]

データはあるもの全部出力してテンプレート側で制御してたんかな

[iekusup]

ほー。

[munieru_jp]

権限管理してないのかな……

[morimarii]

どういう権限設計・設定してんだよ

[gnoname]

この眼鏡をかけると、このマーガリンを塗るとはっきりくっきり

[call_me_nots]

“結果画面に表示される、全体傾向と個人の結果を表す散布図で、ソースコードを表示してさらに詳細を表示していくと、同じグループ（学校単位など）で受検した他の受検者の氏名とスコアの確認が可能になっていた”

[mayumayu_nimolove]

コピペ手抜きか。まあそれは珍しくないけどちゃんとチェックしろよ。

[nmcli]

結構あるあるな不具合

[toaruR]

こういうの、ペネトレーションテストでどのくらい分るんだろう

[deep_one]

ソースコードというよりソースデータかな。

[txjp]

コピペ駆動開発ってやつか