Akaunting Authentication Bypass in Company Selection

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• akaunting akauntingдо 2.1.12 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (rapid7). Не зависят от анализа CPE в NVD и обычно опережают его.

• Akaunting Akaunting

  • 2.1.12 и новее · до 2.1.12 включительнозатронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-22836An OS command injection vulnerability exists in Akaunting v3.1.3 and earlier.
  48В плане
• CVE-2021-36800Akaunting OS Command Injection in 'Money.php'
  36Наблюдать
• CVE-2022-51019Akaunting before 2.1.31 OS Command Injection via app alias
  35Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2020-2239021 июн. 2021 г. · Akaunting <= 2.0.9 is vulnerable to CSV injection in the Item name field, export function.
  35Наблюдать
• Позже →CVE-2021-368024 авг. 2021 г. · Akaunting DoS via User-Controlled 'locale' Variable
  26Наблюдать
• Позже →CVE-2021-368034 авг. 2021 г. · Akaunting Avatar Persistent XSS
  21Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.