CVE-2023-38050

BOLA w EasyAppointments — nieautoryzowany dostęp do webhooków innych użytkowników

CVSS 9.1v3.1pub. 2024-07-09upd. 2024-11-21

Podatność typu BOLA (Broken Object Level Authorization) w aplikacji EasyAppointments umożliwia niskouprzywilejowanemu użytkownikowi odczyt, modyfikację lub usunięcie webhooków należących do dowolnego użytkownika, w tym administratora. Jest to poważne zagrożenie, ponieważ pozwala na nieuprawniony dostęp i manipulację danymi bez wymagania podwyższonych uprawnień.

▸ Pokaż oryginał (EN)

A BOLA vulnerability in GET, PUT, DELETE /webhooks/{webhookId} allows a low privileged user to fetch, modify or delete a webhook of any user (including admin). This results in unauthorized access and unauthorized data manipulation.

🤖 Analiza AI

Jak działa

Podatność dotyczy endpointów API: GET, PUT oraz DELETE /webhooks/{webhookId}. Aplikacja nie weryfikuje prawidłowo, czy żądający użytkownik jest właścicielem zasobu identyfikowanego przez parametr webhookId. Atakujący z niskim poziomem uprawnień może zatem podać identyfikator webhooka należącego do innego użytkownika (włącznie z administratorem) i wykonać na nim dowolną operację odczytu, edycji lub usunięcia.

Skutki

Atakujący może odczytać poufne dane konfiguracyjne webhooków innych użytkowników, zmodyfikować je (np. przekierować powiadomienia na kontrolowany przez siebie adres) lub trwale je usunąć, co prowadzi do nieautoryzowanego dostępu do danych i nieuprawnionej manipulacji konfiguracją systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się monitorowanie repozytorium projektu pod adresem https://github.com/alextselegidis/easyappointments w celu uzyskania informacji o dostępnych aktualizacjach.