yotta / pictogram

changed title from Errores al acceder con supervisor a datos de un estudiante de otro centro to Prueba 1.1.3, 1.3.4 y 1.3.7

added To Do label

changed title from Prueba 1.1.3, 1.3.4 y 1.3.7 to Prueba 1.1.3, 1.3.4 y 1.3.7{+ Relacionado con Issue #239 (closed)+}

mentioned in issue #239 (closed)

En studentController.js método getInfo, se comprueba la relación entre el estudiante y el supervisor que realiza la llamada al método:

// requester has no relation
      student.supervision = -1;

      if (!stu_sup && req.token.office && student.office == req.token.office.id && req.token.isSupAdmin)
        student.supervision = 0; // requester is admin of the office
      else if (stu_sup && !req.token.office)
        student.supervision = 1; // requester is tutor of the studend
      else if (stu_sup && req.token.office && student.office == req.token.office.id)
        student.supervision = 2; // requester is supervisor of student
        else if (req.token.isStudent && req.token.id == student.id)
         student.supervision = 3 // requester is the student himself

      if (student.supervision == -1) // should not hace access!!!
        return res.forbidden("Access to this student should not be granted to you");

En el segundo else if, la condición de que tanto estudiante como supervisor pertenezcan a la misma office no se cumple.

Cierto. Lo más sencillo es no limitar que un estudiante y un supervisor deban estar en la misma oficina.

closed

mentioned in commit 297f8a63