CVE-2026-110128: fuint Unauthenticated IDOR Exposing Order PII via Integer Enumeration

CVE-2026-110128: fuint の会員注文管理システムが、未認証の注文詳細エンドポイントを通じて任意の会員注文を公開 脆弱性概要 fuint の会員注文詳細エンドポイント は、クライアントから提供された整数 によって指定された任意の注文の完全な詳細レコードを、認証や所有権チェックを行わずに返します。パス は において、会員ログインインターセプターの明示的な除外リストに記載されているため、リクエストはトークンチェックに到達することはありません。Spring Security のフィルターチェーンでは が （すべてのアクセスを許可）としてマークされているため、第2の認証層は追加されません。コントローラーメソッド は会員トークンを読み取らず、注文所有者と呼び出し元を比較もしません。これは、同じクラス内の 、 、 メソッド（これらはすべて を使用して会員 ID を比較する）とは対照的です。サービスメソッド は、所有者フィルタなしで主キーにより注文を読み込み、購入者の実名、購入者の国民身分證番号（平文）、購入者の配送先住所、WeChat openid、注文金額、注文商品、注文検証コード、受取人名、受取人電話番号（平文）、および完全な街道地址を含む詳細オブジェクトを組み立てます。 は連番のデータベース主キーであるため、未認証のクライアントは 1 からイテレートして注文テーブル全体を読み取ることができます。信頼境界を越えるのは、会員から会員オブジェクトへの境界です。デフォルト設定における具体的な影響は、会員個人データのバッチ漏洩です。 影響範囲 影響バージョン: rolling release, master branch。除外設定はコミット (2025-08-28) からレビュー済みの HEAD コミット (2026-10-13) まで存在します。リリースタグは存在せず、master ブランチが納入されるアーティファクトです。 コンポーネント: 深刻度: High 状態: 修正中 (In Progress) 修正方案 1. エンドポイントを会員ログインインターセプターから除外しない: が除外パスリストに含まれないようにする。 2. Spring Security に第2の認証層を追加する: パスに対して認証が必要となるようにする。 3. コントローラーが注文を返す際に所有権チェックを行う: メソッドで会員トークンを読み取り、注文所有者と呼び出し元を比較する。 4. サービスが主キーで注文を読み込む際に所有者フィルタを追加する: メソッドに所有者フィルタを追加する。 5. 組み立てられた詳細情報に会員個人データの平文が含まれないようにする: 国民身分證番号、電話番号などの機密データに対してマスキング処理を施す。 攻撃フロー 1. 詳細エンドポイントに対して、低整数 を使用して未認証のリクエストを送信する。 2. スケジューラーが メソッドを呼び出し、 パラメータを読み取って注文を読み込む。 3. メソッドは主キーにより注文を読み込み、詳細情報を構築して元の検証コードを付加する。 4. サーバーは HTTP 200 と、購入者の実名、国民身分證番号、配送先住所、WeChat openid、注文金額、注文商品、注文検証コード、受取人名、電話番号、および完全な街道地址を含む JSON ボディを応答として返す。 5. を 2、3 などと増やしてイテレーションを継続する。既存の注文に対応する値はすべてその注文を返す。イテレーション範囲は、システム内のすべての注文および追加された個人データを列挙する。 6. シリアル番号分岐は、 の値として 12 文字以上を送信することで到達可能となり、 にルーティングされる。この分岐では 12 文字以上の注文シリアル番号が必要であるため、整数分岐が実際の列挙ベクターとなる。 詳細攻撃ステップ 1. 詳細エンドポイントに対して、低整数 を使用して未認証のリクエストを送信する。 ヘッダーは付加されていない。パスは の除外ルールに一致し、 は呼び出されず、 でトークン拒否が欠如している。 2. スケジューラーが メソッドを呼び出す。 メソッドは を呼び出し、 パラメータの値が 1 の整数分岐を取るのは値が 12 文字未満であるため、 を呼び出す。 3. メソッドは を実行し、所有者フィルタなしで詳細情報を構築して元の検証コードを付加する。 4. サーバーは HTTP 200 と、購入者の実名、国民身分證番号、配送先住所、WeChat openid、注文金額、注文商品、注文検証コード、受取人名、電話番号、および完全な街道地址を含む JSON ボディを応答として返す。 5. を 2、3 などと増やしてイテレーションを継続する。既存の注文に対応する値はすべてその注文を返す。イテレーション範囲は、システム内のすべての注文および追加された個人データを列挙する。 6. シリアル番号分岐は、 の値として 12 文字以上を送信することで到達可能となり、 にルーティングされる。この分岐では 12 文字以上の注文シリアル番号が必要であるため、整数分岐が実際の列挙ベクターとなる。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-110128: fuint Unauthenticated IDOR Exposing Order PII via Integer Enumeration

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-110128: fuint Unauthenticated IDOR Exposing Order PII via Integer Enumeration

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！