CVE-2022-4686

Ominięcie autoryzacji przez klucz kontrolowany przez użytkownika w Usememos Memos

CVSS 9.8v3.1pub. 2022-12-23upd. 2024-11-21

Podatność w aplikacji Usememos Memos (przed wersją 0.9.0) umożliwia atakującemu ominięcie mechanizmów autoryzacji poprzez manipulację kluczem kontrolowanym przez użytkownika. Ze względu na brak wymaganego uwierzytelnienia i sieciowy zasięg ataku, podatność otrzymała ocenę CVSS 9.8 i jest uznawana za krytyczną.

▸ Pokaż oryginał (EN)

Authorization Bypass Through User-Controlled Key in GitHub repository usememos/memos prior to 0.9.0.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-639 (Authorization Bypass Through User-Controlled Key) polega na tym, że aplikacja używa wartości dostarczanej przez użytkownika jako klucza do identyfikacji lub autoryzacji dostępu do zasobów, nie weryfikując jej w sposób wystarczający po stronie serwera. Atakujący może zmodyfikować ten klucz w żądaniu sieciowym, aby uzyskać dostęp do zasobów należących do innych użytkowników lub wykonać operacje przekraczające przyznane mu uprawnienia. Atak nie wymaga uwierzytelnienia ani interakcji po stronie ofiary.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych innych użytkowników oraz modyfikować lub usuwać zasoby, do których nie powinien mieć dostępu, co prowadzi do naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować aplikację Usememos Memos do wersji 0.9.0 lub nowszej, w której zastosowano poprawkę dostępną w commicie dca35bde877aab6e64ef51b52e590b5d48f692f9 w repozytorium GitHub producenta.

Kogo dotyczy

Usememos Memos w wersjach wcześniejszych niż 0.9.0

Uwagi

Podatność została zgłoszona za pośrednictwem platformy huntr.dev (bug bounty). Szczegóły dostępne pod adresem: https://huntr.dev/bounties/caa0b22c-501f-44eb-af65-65c315cd1637