CVE-2024-27113

IDOR w SO Planning umożliwia nieuwierzytelniony eksport bazy danych

CVSS 9.3v4.0pub. 2024-09-11upd. 2024-09-18

W narzędziu SO Planning wykryto podatność typu Insecure Direct Object Reference (IDOR), która pozwala nieuwierzytelnionemu atakującemu na uzyskanie dostępu do wewnętrznej bazy danych aplikacji. Podatność jest aktywna wyłącznie gdy włączone jest ustawienie widoku publicznego.

▸ Pokaż oryginał (EN)

An unauthenticated Insecure Direct Object Reference (IDOR) to the database has been found in the SO Planning tool that occurs when the public view setting is enabled. An attacker could use this vulnerability to gain access to the underlying database by exporting it as a CSV file. The vulnerability has been remediated in version 1.52.02.

🤖 Analiza AI

Jak działa

Gdy w SO Planning aktywowana jest opcja widoku publicznego, aplikacja nie weryfikuje tożsamości użytkownika ani jego uprawnień przed udostępnieniem zasobów bazy danych. Atakujący może bezpośrednio odwołać się do obiektu bazodanowego (IDOR) bez jakiegokolwiek uwierzytelnienia. Wykorzystując tę lukę, możliwy jest eksport całej bazy danych w postaci pliku CSV, co prowadzi do ujawnienia przechowywanych danych.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do pełnej zawartości bazy danych aplikacji SO Planning i wyeksportować ją jako plik CSV. Może to skutkować wyciekiem danych wrażliwych, w tym danych osobowych użytkowników, harmonogramów oraz innych informacji przechowywanych w systemie.

Mitygacja

Należy zaktualizować SO Planning do wersji 1.52.02 lub nowszej, w której podatność została naprawiona. Jako tymczasowe obejście należy rozważyć wyłączenie opcji widoku publicznego do czasu zastosowania aktualizacji.

Kogo dotyczy

SO Planning (Soplanning) w wersjach wcześniejszych niż 1.52.02, gdy włączone jest ustawienie widoku publicznego (public view).

Uwagi

Podatność została zgłoszona i opisana przez CSIRT DIVD (csirt.divd.nl). Luka dotyczy wyłącznie instancji z włączoną opcją widoku publicznego — administratorzy powinni zweryfikować konfigurację swoich środowisk.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:N/AU:Y/R:A/V:C/RE:M/U:Red