IDOR Vulnerability: Authorization Bypass via ID Parameter in Order Management

脆弱性概要 IDOR / 認証バイパス — 取消、削除、承認のすべてのアクションが、所有権を検証せずに を受け付ける #13 本脆弱性は、 および パスにおいて、ユーザー入力の を SQL の主キーとして使用して行を操作するものです。 の比較や所有権チェックが行われていません。その結果、匿名呼び出し者を含むあらゆるユーザーが、あらゆる注文、テーブル、メニュー項目、または登録ユーザーに影響を与える可能性があります。ラボでの実証例では、匿名リクエストとして を呼び出すことで、異なる に属する注文であっても Bob の注文が削除されました。 影響範囲 対象バージョン：コミット: 7f0e7e4255e8fcfa48b62f9f1451b6ef18dc 脆弱性タイプ：ユーザー制御可能な SQL 主キーによる認証の回避（CWE-639）/ IDOR 対象コード： - - - - - - 修正方針 根本原因：アプリケーションは「URL が有効であれば、実行権限がある」と仮定しています。破壊的なエンドポイントは、あらゆるアクセス制御チェックの外側に位置しており、セッションチェックが行われている唯一の場所は （例： 、 など）です。行の読み取り時には を使用していますが、操作エンドポイントでは任意の を受け取り、それを直接使用しています。 手順： 1. 異なるユーザーに対して注文を生成（シード）する。 2. 匿名呼び出し者として Bob の注文を削除する。 3. 同様に Bob のテーブル予約を削除する。 4. 管理エンドポイントで、依然として匿名の状態で、任意の注文を承認/取消する。 実証コード（POC） 影響 アプリケーションには、「あなたの注文」と「他人の注文」を区別する概念がありません。あらゆる呼び出し者は、ID を列挙すること（例： 、 など）で注文を列挙可能であり、それらを削除したりステータスを変更したりできます。同一の における SQL インジェクション（CVE-04）と組み合わせると、大規模な DELETE/UPDATE 操作プリミティブとなります。さらに CVE-18（CSRF）と組み合わせることで、認証済み管理者が閲覧しているページからでも、アクセスが可能になります。 CVSS 3.1 スコア CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — 8.1 (High) （非認証サブフローにおけるこれらの同じファイルは個別に CVE-13 Critical として報告されています。本エントリは、サブフロー内の所有権チェックの側面をカバーしています。）

目標達成すべての支援者に感謝 — 100%達成しました！

IDOR Vulnerability: Authorization Bypass via ID Parameter in Order Management

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

IDOR Vulnerability: Authorization Bypass via ID Parameter in Order Management

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！