CVE-2023-38054

BOLA w Easy!Appointments — nieautoryzowany dostęp do danych klientów

CVSS 9.9v3.1pub. 2024-07-09upd. 2024-11-21

Podatność typu BOLA (Broken Object Level Authorization) w aplikacji Easy!Appointments umożliwia nisko uprzywilejowanemu użytkownikowi nieautoryzowany odczyt, modyfikację lub usunięcie danych innych klientów. Ze względu na brak weryfikacji uprawnień na poziomie obiektów, zagrożenie dotyczy poufności i integralności danych przechowywanych w systemie.

▸ Pokaż oryginał (EN)

A BOLA vulnerability in GET, PUT, DELETE /customers/{customerId} allows a low privileged user to fetch, modify or delete a low privileged user (customer). This results in unauthorized access and unauthorized data manipulation.

🤖 Analiza AI

Jak działa

Podatność dotyczy endpointów API: GET, PUT oraz DELETE /customers/{customerId}. Zalogowany użytkownik o niskich uprawnieniach może manipulować wartością parametru customerId w żądaniu HTTP, uzyskując tym samym dostęp do zasobów należących do innych użytkowników. Aplikacja nie weryfikuje, czy żądający użytkownik jest właścicielem wskazanego zasobu, co jest klasycznym przejawem błędu CWE-639 (Authorization Bypass Through User-Controlled Key). Atakujący może w ten sposób pobierać, nadpisywać lub trwale usuwać dane dowolnego klienta zarejestrowanego w systemie.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych osobowych klientów, modyfikować te dane lub je trwale usuwać, co prowadzi do naruszenia poufności, integralności oraz dostępności danych przechowywanych w systemie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również wdrożenie weryfikacji uprawnień na poziomie obiektów (object-level authorization) dla wszystkich endpointów API operujących na zasobach użytkowników.