CVE-2021-37631: Circle can be accessed by non-Circle members in Nextcloud Deck

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• nextcloud deckдо 1.2.9
• nextcloud deck1.3.0 и новее · до 1.4.4
• nextcloud deck1.5.0 и новее · до 1.5.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• nextcloud security-advisories

  • < 1.2.9, >= 1.3.0, < 1.4.4, >= 1.5.0, < 1.5.1затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-39225Missing permission check on Deck API
  32Наблюдать
• CVE-2020-8182Improper access control in Nextcloud Deck 0.8.0 allowed an attacker to reshare boards shared with them with more permissions than they had t
  32Наблюдать
• CVE-2023-22470Nextcloud Deck vulnerable to uncontrolled resource consumption
  26Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2020-829723 февр. 2021 г. · Nextcloud Deck before 1.0.2 suffers from an insecure direct object reference (IDOR) vulnerability that permits users with a duplicate user i
  17Наблюдать
• ← РаньшеCVE-2021-2291311 июн. 2021 г. · Nextcloud Deck before 1.2.7, 1.4.1 suffers from an information disclosure vulnerability when searches for sharees utilize the lookup server
  26Наблюдать
• Позже →CVE-2022-2490620 мая 2022 г. · Error in deleting deck cards attachment reveals the full application path in Nextcloud Deck
  17Наблюдать

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.