CVE-2024-11146: TrueFiling authorization bypass via user-controlled keys

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• i3verticals truefilingдо 3.1.112.19

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (cisa-cg). Не зависят от анализа CPE в NVD и обычно опережают его.

• i3 Verticals TrueFiling

  • 3.1.112.19не затронута
  • до 3.1.112.19затронута

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.