Attackers can successfully request arbitrary snippet IDs, including E-Mail signatures of other users within the same context.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• open-xchange open-xchange appsuite backendдо 7.10.6
• open-xchange open-xchange appsuite backend8.0.0 и новее · до 8.11.0
• open-xchange open-xchange appsuite backend7.10.6

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (OX). Не зависят от анализа CPE в NVD и обычно опережают его.

• OX Software GmbH OX App Suite

  • до 7.10.6-rev39 включительнозатронута · semver
  • до 8.9 включительнозатронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2023-26443Full-text autocomplete search allows user-provided SQL syntax to be injected to SQL statements.
  39Наблюдать
• CVE-2023-26436Attackers with access to the "documentconverterws" API were able to inject serialized Java objects, that were not properly checked during de
  35Наблюдать
• CVE-2023-26451Functions with insufficient randomness were used to generate authorization tokens of the integrated oAuth Authorization Service.
  30Наблюдать
• CVE-2023-26429Control characters were not removed when exporting user feedback content.
  21Наблюдать
• CVE-2023-26435It was possible to call filesystem and network references using the local LibreOffice instance using manipulated ODT documents.
  20Наблюдать
• CVE-2023-26430Attackers with access to user accounts can inject arbitrary control characters to SIEVE mail-filter rules.
  17Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.