CoreShop Order API Authenticated BOLA/IDOR in Order Confirmation and Reshipment

CoreShop Order API: 認証済みBOLA/IDOR（注文確認および再送における） 脆弱性概要 CoreShopは、顧客向け注文APIにおいて呼び出し元の認証を実施しているものの、対象オブジェクトを常にその呼び出し元にバインドしていません。2つのエンドポイントで共有される認可設計上の欠陥として、APIはユーザー制御可能なオブジェクト識別子を受け取り、所有権を強制せずに操作を行います。 POST /api/Order/OrderConfirm：所有者IDとしてクライアント制御可能な値を渡します。サービスは が0より大きい場合にのみ フィルターを適用します。クライアントはフィールドを省略することでこれを0に設定できます。これにより、顧客は他顧客の注文を確認できます。 POST /api/Order/SendReship： に基づいて返品配送レコードを読み込み更新しますが、 に対して所有者述語（predication）が適用されないため、顧客は他顧客の運送業者/追跡番号を上書きし、配送ステータスを「配送中」に強制できます。 認証境界（ログインが必要）は成立しています；オブジェクトの所有権境界は成立していません。 影響範囲 完全性（Integrity）：他顧客の合格済みの支払済み/配送済み注文を「受領済み」（ ）としてマークし、他顧客の返品配送の運送業者と追跡番号を上書きしてステータスを「配送中」に強制します（ ）。 プロセスメカニズム：これらのステータス遷移を信頼するカスタマーサポート、履行、返金、および返品ワークフローを妨害します。 修正方案 即時対応： には を渡すようにし、 の読み込みおよび更新述語に認証済みユーザーを含めます。オブジェクトが他顧客に属している場合は、一般的な「見つかりません」または「認可失敗」を返します。 短期対応：顧客向けサービスメソッドから「任意の所有者フィルター」の形状を削除します。所有者IDを必須とし、 /デフォルト値が「すべての所有者に一致する」ことを示せないようにします。 階層防御：タイムスタンプベースの識別子を暗号学的な擬似乱数に置き換えます。レート制限を追加します。アカウントAの注文をアカウントBが確認できない、またはアカウントAの返品配送を変更できないことを証明する両アカウント向けの回帰テストを追加します。 詳細な攻撃手順 1. 他顧客の注文を確認する 期待される安全な動作：403 Forbiddenまたは一般的な失敗。Aの注文は変更されない。 実際に観察された動作： に一致するレコードが更新され、ステータスチェックが行われ、所有者条件なしで / が設定され、「受領確認成功」が返されます。 2. 他顧客の返品配送を上書きする 期待される安全な動作：403 Forbiddenまたは一般的な失敗。Aのレコードは変更されない。 実際に観察された動作：レコードが で読み込まれ、攻撃者が制御する / を使用して更新され、ステータスが「配送中」に設定されます。 述語は適用されていません。 修正コード例 OrderController.OrderConfirm SendReship 参考 プロジェクト: CoreUnion/CoreShop コミットにおけるソースレビュー: b33f64fd: OrderController.cs, CoreCesOrderServices.cs, CoreCesBillReship.cs, FMId.cs, CommonHelper.cs 弱点: CWE-639 ユーザー制御キーを通じた認可回避 推奨 CVSS 3.1: 6.5 (AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N)

目標達成すべての支援者に感謝 — 100%達成しました！

CoreShop Order API Authenticated BOLA/IDOR in Order Confirmation and Reshipment

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CoreShop Order API Authenticated BOLA/IDOR in Order Confirmation and Reshipment

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！