ERR-202606-020
HIGH
IN_PROGRESS
Phân quyền 5D matrix (user × loại CT × kho × CN × ngành) không nhất quán
| Phòng ban | Tài chính - Kế toán |
| Nhóm PIC | OneSystem |
| Module | S1 — Phân quyền |
| Người Report | Lê Tú Uyên (Kế toán lead) |
| PIC | An Nguyễn (OneSystem S1 backend) |
| Ngày báo | 2026-01-05 |
| Cập nhật | 2026-06-11 |
| Due date | — |
| Resolved | — |
| Tags | permissionmatrixsecurity |
Mô tả
Mô tả
User kd15 không có quyền xem TK 1317 vẫn thấy được PXK. Phân quyền 5 dimensions (user × loại CT × kho × CN × ngành) không nhất quán → security gap.
Nguồn
Zalo group OST Support — Lê Tú Uyên 2026-01-05.
Mức độ ảnh hưởng
- Tần suất: rải rác, mỗi lần là 1 case
- Business: data leak risk, audit risk
Hướng giải pháp
- Centralized permission management UI
- Audit log mọi permission check
- Quarterly review permission per role
- Default: deny, explicit grant only