Kentico CMS before 13.0.66 has an Insecure Direct Object Reference vulnerability.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• kentico xperienceдо 13.0.66

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2025-2747Kentico Xperience <= 13.0.178 Staging Sync Server None Password Type Authentication BypassKEV
  98Срочно
• CVE-2019-10068An issue was discovered in Kentico 12.0.x before 12.0.15, 11.0.x before 11.0.48, 10.0.x before 10.0.52, and 9.x versions.KEV
  98Срочно
• CVE-2025-2746Kentico Xperience <= 13.0.172 Staging Sync Server Digest Password Authentication BypassKEV
  91Срочно

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2021-439913 дек. 2021 г. · Persistent XSS via Avatar Upload in Kentico Xperience CMS
  21Наблюдать
• ← РаньшеCVE-2021-4616310 янв. 2022 г. · Kentico Xperience 13.0.44 allows XSS via an XML document to the Media Libraries subsystem.
  24Наблюдать
• Позже →CVE-2022-3238718 июл. 2022 г. · In Kentico before 13.0.66, attackers can achieve Denial of Service via a crafted request to the GetResource handler.
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.