CWE-639: Authorization Bypass Through User-Controlled Key in web services in Progress Sitefinity

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• progress sitefinity15.2.8400 и новее · до 15.2.8441
• progress sitefinity15.3.8500 и новее · до 15.3.8531
• progress sitefinity15.4.8600 и новее · до 15.4.8630

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (ProgressSoftware). Не зависят от анализа CPE в NVD и обычно опережают его.

• Progress Software Sitefinity

  • 15.2.8400 и новее · до 15.2.8441затронута
  • 15.3.8500 и новее · до 15.3.8531затронута
  • 15.4.8600 и новее · до 15.4.8630затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2017-9248Telerik.Web.UI.dll in Progress Telerik UI for ASP.NET AJAX before R2 2017 SP1 and Sitefinity before 10.0.6412.0 does not properly protect TeKEV
  92Срочно
• CVE-2017-15883Sitefinity 5.1, 5.2, 5.3, 5.4, 6.x, 7.x, 8.x, 9.x, and 10.x allow remote attackers to bypass authentication and consequently cause a denial
  40В плане
• CVE-2026-7198CWE-284: Improper Access Control in web services in Progress Sitefinity
  39Наблюдать
• CVE-2023-29375An issue was discovered in Progress Sitefinity 13.3 before 13.3.7647, 14.0 before 14.0.7736, 14.1 before 14.1.7826, 14.2 before 14.2.7930, a
  39Наблюдать
• CVE-2019-17392Progress Sitefinity 12.1 has a Weak Password Recovery Mechanism for a Forgotten Password because the HTTP Host header is mishandled.
  39Наблюдать
• CVE-2017-18179Progress Sitefinity 9.1 uses wrap_access_token as a non-expiring authentication token that remains valid after a password change or a sessio
  36Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.