Unauthorized Access via BOLA in Admin Hotel Room Booking Controller

脆弱性概要 タイトル: 管理者用部屋予約における不正なホテルアクセス 要約: 管理者用部屋予約コントローラーに権限回避の脆弱性が存在します。コードはURLから取得した 値を受け入れ、現在のログインユーザー（従業員）がそのホテルへのアクセス権限を持っているかどうかを最初に確認することなく、予約ワークフローで使用しています。これにより、1つのホテルへのアクセス権限を持つ従業員が、自身の権限範囲を超えて別の子ホテルの予約データを参照または操作できる可能性があります。 脆弱性説明: 攻撃対象となるロジックは にあります。修正前のコントローラーは実質的に以下の動作を実行していました。 リクエストパラメータは、従業員プロファイルが選択されたホテルへのアクセス権限を持っているかどうかを検証することなく信頼されています。ホテルへのアクセスは従業員プロファイルまたは割り当てられた権限に基づいて制限されるべきですが、クライアントからの任意の 値を受け入れることが、認可（authorization）の脆弱性を生み出しました。 影響範囲 この問題は、権限の低い従業員に対し、以下の行為を可能にする可能性があります： 無許可のホテルの予約カレンダーを参照すること； 自分にはアクセス権限のないホテルの部屋予約を作成または操作すること； 部屋の空室状況、顧客情報、またはホテル予約動向に関する情報を漏洩させること； 通常はホテルごとに分離されるべき権限設定において、ホテル横断的な無許可操作を実行すること。 修正方針 ページ上では修正方針が明確には明記されていませんが、脆弱性の説明に基づくと、修正には 値を受け取って使用する前に権限検証を追加することが含まれます。具体的には、コントローラー内で現在ログインしている従業員が指定されたホテルへのアクセス権限を持っているかどうかをチェックし、承認された場合にのみ処理を許可する必要があります。 利用コード（PoC） ページには詳細な利用手順とスクリーンショットが提供されていますが、具体的なPoCコードブロックは提供されていません。以下は利用手順の簡潔な要約です： 1. 管理者としてログインし、新しいホテル（例： ）を作成します。 2. に移動し、新しいロールを作成して権限を割り当てます。 3. 新ロールを持つ新しい従業員を追加します。 4. Back Office に、ホテルへのアクセスが制限された従業員としてログインし、 に移動して検索をクリックします。 5. URL内の パラメータの値を から に変更します。 これらの手順により、攻撃者は無許可のホテルの部屋状態にアクセスすることが可能です。

目標達成 すべての支援者に感謝 — 100%達成しました！

Unauthorized Access via BOLA in Admin Hotel Room Booking Controller

目標達成すべての支援者に感謝 — 100%達成しました！