The API in Dradis Pro 3.4.1 allows any user to extract the content of a project, even if this user is not part of the project team.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• dradisframework dradis3.4.1

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-30028Dradis Professional Edition before 4.3.0 allows attackers to change an account password via reusing a password reset token.
  23Наблюдать
• CVE-2023-31223Dradis before 4.8.0 allows persistent XSS by authenticated author users, related to avatars.
  21Наблюдать
• CVE-2019-5925Cross-site scripting vulnerability in Dradis Community Edition Dradis Community Edition v3.11 and earlier and Dradis Professional Edition v3
  21Наблюдать
• CVE-2023-50458In Dradis before 4.11.0, the Output Console shows a job queue that may contain information about other users' jobs.
  17Наблюдать
• CVE-2023-50786Dradis through 4.16.0 allows referencing external images (resources) over HTTPS, instead of forcing the use of embedded (uploaded) images.
  17Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.