Authorization Bypass Through User-Controlled Key in weseek/growi

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• weseek growiдо 4.4.7 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (@huntrdev). Не зависят от анализа CPE в NVD и обычно опережают его.

• weseek weseek/growi

  • unspecified и новее · до 4.4.8затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-20736NoSQL injection vulnerability in GROWI versions prior to v4.2.20 allows a remote attacker to obtain and/or alter the information stored in t
  36Наблюдать
• CVE-2019-5968Cross-site request forgery (CSRF) vulnerability in GROWI v3.4.6 and earlier allows remote attackers to hijack the authentication of administ
  35Наблюдать
• CVE-2020-5683Directory traversal vulnerability in GROWI versions prior to v4.2.3 (v4.2 Series), GROWI versions prior to v4.1.12 (v4.1 Series), and GROWI
  31Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2021-2073721 июн. 2021 г. · Improper authentication vulnerability in GROWI versions prior to v4.2.20 allows a remote attacker to view the unauthorized pages without acc
  26Наблюдать
• ← РаньшеCVE-2021-2082921 сент. 2021 г. · Cross-site scripting vulnerability due to the inadequate tag sanitization in GROWI versions v4.2.19 and earlier allows remote attackers to e
  24Наблюдать
• Позже →CVE-2022-12365 апр. 2022 г. · Weak Password Requirements in weseek/growi
  26Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.