Spree IDOR Vulnerability in PATCH /api/v3/store/carts/:id/associate with POC

脆弱性重要情報まとめ 脆弱性の概要 脆弱性名称： におけるアクセス制御の欠如 (IDOR) 脆弱性タイプ：IDOR（直接オブジェクト参照の欠如）/ アクセス制御の欠陥 重大度：High（7.1 / 10） 脆弱性の説明： - エンドポイントは、ゲストのカート（cart）を認証済みユーザーに関連付けることを許可するが、ストアの所有権を検証していない。 - このエンドポイントは、カートが にマッチする のみをチェックし、カートが現在のストアに属しているかどうかを検証していない。 - アタッカーはゲストカートのIDを列挙（予測可能な に基づく）することで、任意のストアのゲストカートを自分のアカウントに関連付け、カート内の機密情報（請求先住所、納品先住所など）の読み取りや変更を行うことができる。 - の形式は であり、 はデフォルト設定（非暗号化、可逆性あり）を使用しているため、IDがオフラインで導出可能である。 影響範囲 影響を受けるバージョン：Spree >= 5.4.0 修正済みバージョン：Spree 5.4.4, 5.5.4 影響を受ける機能： - アタッカーはゲストカートのIDを列挙し、その内容を読み取ることができる（PII：氏名、ストリート、郵便番号など）。 - カートの中身が改ざんされる可能性がある（例：納品先住所の変更、元のユーザーのメールアドレスの上書き）。 - アタッカーには、一般のストアアカウント（セルフ登録可能）と、ターゲットストアの （フロントエンド証明書、通常は公開されている）が必要である。 - モードには適用されない（アクセスにはログインが必要）。 修正方法 公式推奨事項：Spree 5.4.4 または 5.5.4 へのアップグレード。 一時的な緩和策： - すぐにアップグレードできない場合、カートを関連付ける際、常にカートトークンを使用すべきである（ だけに依存するのではなく）。 - エンドポイントの権限検証を強化し、カートが属するストアの検証ロジックを追加する。 - 予測可能な を一意の識別子として使用することを避け、不可逆性のあるトークンまたは強いランダム性で生成されたトークンを使用する。 POC / 悪用コード > ⚠️ 注意: 実際の悪用では、有効なカートにヒットするために複数の 値を反復する必要があり、ターゲットストアの （通常はフロントエンドの JS に埋め込まれており、入手が容易である）が必要である。

目標達成 すべての支援者に感謝 — 100%達成しました！

Spree IDOR Vulnerability in PATCH /api/v3/store/carts/:id/associate with POC

目標達成すべての支援者に感謝 — 100%達成しました！