Faille critique d'autorisation dans le middleware Gin-Gonic d'INSATutorat permet un contournement

INSATutorat, une application développée en Go, présente une vulnérabilité critique d'évitement d'autorisation identifiée sous l'ID GHSA-XFX2-PRG5-JQ3G. Publiée le 1er mars 2026, cette faille découle d'une mise en œuvre défaillante du middleware AdminHandler dans le framework web Gin-Gonic. Bien que ce middleware détecte correctement les utilisateurs non autorisés, il omet d'arrêter le traitement de la requête avec c.Abort(), permettant ainsi à tout utilisateur authentifié d'accéder aux endpoints administratifs sous /api/admin/*. Gin-Gonic, framework HTTP léger pour le langage Go, repose sur des middlewares en chaîne pour gérer l'authentification et l'autorisation. Dans les applications web Go, ces middlewares interceptent les requêtes avant qu'elles n'atteignent les handlers finaux ; un appel manquant à c.Abort() propage la requête malgré une détection d'échec, exposant les routes protégées. Cette erreur, répertoriée sous CWE-285 (mauvaise gestion des permissions), affecte les versions d'INSATutorat antérieures au commit 15ae47425aed337181f7a6c54a9d199c93b041eb, avec un score CVSS v3.1 de 8.8 indiquant un impact élevé sur la confidentialité et l'intégrité via un vecteur réseau et des privilèges bas. Le code corrigé ajoute c.Abort() après les erreurs Unauthorized ou Forbidden, interrompant ainsi la chaîne de middlewares. Un POC existe, confirmant que des utilisateurs non administrateurs peuvent exécuter des actions privilégiées, risquant une perte de données ou une gestion système non autorisée. Les stratégies d'atténuation incluent le patch immédiat, un audit de tous les middlewares Gin pour les appels manquants à Abort(), et des tests d'intégration vérifiant les codes de statut HTTP pour les requêtes non autorisées. Les développeurs Go doivent mettre en œuvre des tests automatisés pour valider les flux d'autorisation, car de telles omissions sont courantes dans les frameworks middleware comme Gin-Gonic. La correction via ce commit spécifique restaure la protection des routes administratives.