Authorization Bypass Through User-Controlled Key in unshiftio/url-parse

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• url-parse project url-parseдо 1.5.6

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (@huntrdev). Не зависят от анализа CPE в NVD и обычно опережают его.

• unshiftio unshiftio/url-parse

  • unspecified и новее · до 1.5.6затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2018-3774Incorrect parsing in url-parse <1.4.3 returns wrong hostname which leads to multiple vulnerabilities such as SSRF, Open Redirect, Bypass Aut
  41В плане
• CVE-2022-0691Authorization Bypass Through User-Controlled Key in unshiftio/url-parse
  40В плане
• CVE-2022-0686Authorization Bypass Through User-Controlled Key in unshiftio/url-parse
  37Наблюдать
• CVE-2021-3664Open Redirect in unshiftio/url-parse
  22Наблюдать
• CVE-2021-27515url-parse before 1.5.0 mishandles certain uses of backslash such as http:\/ and interprets the URI as a relative path.
  22Наблюдать
• CVE-2022-0639Authorization Bypass Through User-Controlled Key in unshiftio/url-parse
  21Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.