fix(security): SMTP-/WebDAV-Zugangsdaten in GET /admin/org-settings gefiltert

GHSA-63xg-pg3x-g36f (CVSS 6.5, gemeldet von @dav-rest): jede Rolle ab 'reader'
konnte smtpSettings.pass und webdavSettings.appPassword im Klartext auslesen,
da der Lese-Pfad nur mit authorize('reader') statt authorize('admin') gesichert
war. Fix: Zugangsdaten werden für Rollen unterhalb 'admin' herausgefiltert,
der restliche Endpunkt bleibt erreichbar (navOrder/Splash-Settings werden von
allen Rollen beim Login benötigt).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01H5yQKPm5aF2bFWaZz2TEDr

Author: coolstartnow

CHANGELOG.md

@@ -10,6 +10,11 @@ The format follows [Keep a Changelog](https://keepachangelog.com/en/1.0.0/).
 
 ## [Unreleased]
 
+## [1.40.3] — 2026-09-02
+
+### Security
+- **Broken access control in `GET /admin/org-settings` leaked SMTP-/WebDAV-Zugangsdaten** ([GHSA-63xg-pg3x-g36f](https://github.com/coolstartnow/isms-builder/security/advisories/GHSA-63xg-pg3x-g36f), CVSS 6.5/medium, gemeldet von @dav-rest). Der Lese-Pfad war mit `authorize('reader')` geschützt — der niedrigsten Rolle — und gab das komplette Organisationseinstellungen-Objekt unredigiert zurück, inklusive `smtpSettings.pass` und `webdavSettings.appPassword` im Klartext. Jede eingeloggte Rolle (bis hinunter zu `reader`) konnte damit die Zugangsdaten des organisationseigenen Mailservers und/oder WebDAV-Speichers auslesen, obwohl die Schwester-Endpunkte (`/admin/role-settings`, `/admin/users`) korrekt auf `admin` beschränkt waren. Da alle Rollen beim Login auf denselben Endpunkt angewiesen sind (Navigationsreihenfolge, Splash-Einstellungen), wurde der Zugriff nicht komplett gesperrt, sondern `server/routes/admin.js` filtert `smtpSettings.pass` und `webdavSettings.appPassword` jetzt für alle Rollen unterhalb `admin` heraus — alle übrigen (nicht-geheimen) Felder bleiben wie bisher lesbar. Betroffen: alle Versionen bis 1.40.2, sofern SMTP- und/oder WebDAV-Einstellungen konfiguriert wurden.
+
 ## [1.40.2] — 2026-08-30
 
 ### Fixed

README.md

@@ -1,4 +1,4 @@
-<!-- © 2026 Claude Hecker — ISMS Builder V 1.40.2 — AGPL-3.0 -->
+<!-- © 2026 Claude Hecker — ISMS Builder V 1.40.3 — AGPL-3.0 -->
 ![ISMS Builder Banner](isms-builder-banner.png)
 # ISMS Builder
 

package-lock.json

@@ -1,6 +1,6 @@
 {
   "name": "isms-build",
-  "version": "1.40.2",
+  "version": "1.40.3",
   "description": "ISMS Template Builder – Build Mode",
   "scripts": {
     "start": "node server/index.js",

package.json

@@ -4,7 +4,7 @@ const express = require('express')
 const router = express.Router()
 const fs = require('fs')
 const path = require('path')
-const { requireAuth, authorize } = require('../auth')
+const { requireAuth, authorize, ROLE_RANK } = require('../auth')
 const orgSettingsStore = require('../db/orgSettingsStore')
 const auditStore       = require('../db/auditStore')
 const customListsStore = require('../db/customListsStore')
@@ -214,8 +214,20 @@ router.post('/admin/list/:listId/reset', requireAuth, authorize('admin'), async
 })
 
 // ── Organisationseinstellungen ──
+// GHSA-63xg-pg3x-g36f: alle Rollen brauchen diesen Endpunkt beim Login (navOrder,
+// Splash-Settings) — deshalb bleibt er bei 'reader', aber Zugangsdaten werden für
+// Nicht-Admins herausgefiltert statt den kompletten Endpunkt zu sperren.
 router.get('/admin/org-settings', requireAuth, authorize('reader'), async (req, res) => {
-  res.json(await orgSettingsStore.get())
+  const settings = await orgSettingsStore.get()
+  if (req.roleRank < ROLE_RANK.admin) {
+    const { smtpSettings, webdavSettings, ...rest } = settings
+    return res.json({
+      ...rest,
+      smtpSettings:   smtpSettings   ? { ...smtpSettings,   pass: undefined }         : smtpSettings,
+      webdavSettings: webdavSettings ? { ...webdavSettings, appPassword: undefined }  : webdavSettings,
+    })
+  }
+  res.json(settings)
 })
 router.put('/admin/org-settings', requireAuth, authorize('admin'), async (req, res) => {
   const updated = await orgSettingsStore.update(req.body)

server/routes/admin.js

@@ -126,6 +126,32 @@ describe('Org-Einstellungen', () => {
     const res = await authedPut(app, readerCookie, '/admin/org-settings', { companyName: 'X' })
     expect(res.status).toBe(403)
   })
+
+  // GHSA-63xg-pg3x-g36f: GET /admin/org-settings gab SMTP-/WebDAV-Zugangsdaten
+  // im Klartext an jede Rolle ab 'reader' zurück. Fix: Felder werden für
+  // Nicht-Admins herausgefiltert, der Rest (u. a. navOrder) bleibt lesbar,
+  // da alle Rollen ihn beim Login brauchen.
+  test('GET /admin/org-settings – reader sieht KEINE Zugangsdaten (GHSA-63xg-pg3x-g36f)', async () => {
+    await authedPut(app, adminCookie, '/admin/org-settings', {
+      smtpSettings:   { host: 'smtp.example.com', user: 'notify@example.com', pass: 'super-secret-smtp' },
+      webdavSettings: { enabled: true, baseUrl: 'https://cloud.example.com', username: 'isms', appPassword: 'super-secret-webdav' },
+    })
+
+    const res = await authedGet(app, readerCookie, '/admin/org-settings')
+    expect(res.status).toBe(200)
+    expect(res.body.smtpSettings?.pass).toBeUndefined()
+    expect(res.body.webdavSettings?.appPassword).toBeUndefined()
+    // Nicht-geheime Felder bleiben für reader sichtbar
+    expect(res.body.smtpSettings?.host).toBe('smtp.example.com')
+    expect(res.body.webdavSettings?.username).toBe('isms')
+  })
+
+  test('GET /admin/org-settings – admin sieht weiterhin die vollen Zugangsdaten', async () => {
+    const res = await authedGet(app, adminCookie, '/admin/org-settings')
+    expect(res.status).toBe(200)
+    expect(res.body.smtpSettings?.pass).toBe('super-secret-smtp')
+    expect(res.body.webdavSettings?.appPassword).toBe('super-secret-webdav')
+  })
 })
 
 describe('Audit-Log', () => {