Unauthenticated API in Echo Social App Allows Data Tampering via PUT /api/echo/like

漏洞概述 漏洞名称：PUT /api/echo/like/:id 未认证：匿名调用者可以修改任何 echo 的 fav_count 漏洞描述：在 中注册的 路由属于 ，没有进行身份验证和速率限制。匿名调用者可以通过 UUID 增加任何 echo（包括私有 echo）的 ，重复请求不会去重，并触发数据库写入和四层缓存失效。Alice 可以从公共 GET /api/echo/page 响应中收集 echo UUIDs，无限增加 fav 计数，并在数据库和缓存层产生大量写入。 影响范围 受影响版本：<= 4.5.6 修复版本：4.7.3 严重程度：6.5 / 10 CVSS v3 基本指标： - 攻击向量：网络 - 攻击复杂度：低 - 所需权限：无 - 用户交互：无 - 范围：未改变 - 机密性：无 - 完整性：低 - 可用性：低 修复方案 推荐修复： 1. 将路由移动到 ，以便应用 JWT 中间件，并在中间件层添加每用户去重和速率限制。 2. 在服务层，检查私有标志并记录用户/echo 对到一张表中，以防止来自同一用户的重复增加。 POC 代码 观察结果 在 v4.5.6 测试容器中观察到： - 公共点赞 #1: HTTP 200 {"code":1,"msg":"点Echo成功","data":null} - 公共点赞 #2: HTTP 200 {"code":1,"msg":"点Echo成功","data":null} - 公共点赞 #3: HTTP 200 {"code":1,"msg":"点Echo成功","data":null} - 私有点赞: HTTP 200 {"code":1,"msg":"点Echo成功","data":null} 相同的 IP 对同一个 echo 点赞三次，即使没有 429 或去重。私有 echo 点赞（UUID 926af77-4a97-...）即使 会拒绝来自匿名调用者的请求，也成功了。 影响 单个脚本可以随意扭曲排名。 可被利用，但他们接受来自任何知道 UUID 的人的点赞。 影响用户的浏览器历史。 每次操作加上四次缓存失效。单个攻击者可以从并发读者中受益。 任何暴露端口 6277 的 Echo 部署都是可达的。 发现者 由 发现

目標達成すべての支援者に感謝 — 100%達成しました！

Unauthenticated API in Echo Social App Allows Data Tampering via PUT /api/echo/like

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Unauthenticated API in Echo Social App Allows Data Tampering via PUT /api/echo/like

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！