CVE-2024-8954

Pominięcie uwierzytelnienia w Composio przez brak walidacji nagłówka x-api-key

CVSS 9.8v3.0pub. 2025-03-20upd. 2025-07-15

Composio w wersji 0.5.10 nie weryfikuje wartości nagłówka `x-api-key` podczas uwierzytelniania, co umożliwia całkowite ominięcie mechanizmu ochrony dostępu. Podatność jest krytyczna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika i jest dostępna zdalnie przez sieć.

▸ Pokaż oryginał (EN)

In composiohq/composio version 0.5.10, the API does not validate the `x-api-key` header's value during the authentication step. This vulnerability allows an attacker to bypass authentication by providing any random value in the `x-api-key` header, thereby gaining unauthorized access to the server.

🤖 Analiza AI

Jak działa

API aplikacji Composio przyjmuje dowolną, losową wartość w nagłówku HTTP `x-api-key` jako prawidłowy klucz uwierzytelniający — bez żadnej weryfikacji jej poprawności. Atakujący wysyła żądanie do API z nagłówkiem `x-api-key` zawierającym przypadkową wartość, a serwer traktuje takie żądanie jako uwierzytelnione. W efekcie mechanizm uwierzytelniania jest całkowicie nieskuteczny i nie stanowi żadnej bariery dla nieautoryzowanego dostępu.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do serwera z pełnymi uprawnieniami, co może prowadzić do ujawnienia, modyfikacji lub zniszczenia przetwarzanych danych (wysoki wpływ na poufność, integralność i dostępność).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się niezwłoczną aktualizację do wersji wyższej niż 0.5.10 oraz tymczasowe ograniczenie dostępu do API Composio na poziomie sieci (firewall, listy ACL) do czasu wdrożenia poprawki.

Kogo dotyczy

Composio (composiohq/composio) w wersji 0.5.10

Uwagi

Podatność zgłoszona za pośrednictwem platformy huntr.com (program bug bounty). Szczegóły techniczne oraz raport dostępne pod adresem: https://huntr.com/bounties/f1e0fdce-00d7-4261-a466-923062800b12