このウェブページスキャリーンショットから、以下の脆弱性に関する重要な情報を取得できます。 1. 脆弱性ID：#393532 2. 脆弱性名称：GitHub Insurance Management System 1.0 の不適切なアクセス制御 3. 脆弱性説明： - タイトル：GitHub Insurance Management System 1.0 における不適切なアクセス制御 - 説明： - LIMS（Life Insurance Management System）には、ユーザーが支払い記録を編集できる「editPayment.php」というエンドポイントが含まれています。 - 支払い記録は、URL内の パラメータによってアクセスおよび修正され、このパラメータはバックエンドデータベース内の支払い記録に対応しています。 - 著者は、アプリケーションが パラメータに対してアクセス制御チェックを適切に実施していないことを発見しました。 パラメータを、編集対象外である支払い記録（例：他のユーザーに属する記録や、編集不可としてマークされている記録）を参照するように変更することで、認可されていないユーザーがこれらの支払い記録のデータにアクセスおよび変更することができます。 4. 再現手順： - LIMS にログインし、支払いセクション（payment.php）に移動します。 - 編集可能な支払い記録を特定し、その 値を記録します。 - 編集不可の支払い記録を特定し、その 値を記録します。 - 編集可能な支払い記録の を、編集不可の支払い記録の に置き換え、Enter キーを押します。 - システムが編集不可の支払い記録へのアクセスおよび編集を許可するかどうかを観察します。 - 支払い記録に変更を加え、保存します。 5. 影響： - 攻撃者は、制限または読み取り専用であるべき支払い記録を変更できます。 - 認可されていないユーザーが、他のユーザーの支払い記録へのアクセス権限を取得します。 - 財務面およびデータ整合性に問題が生じる可能性があります。 - 脆弱性の影響は、支払いデータの機密性レベルと、認可されていないユーザーが実行可能な操作によって異なります。 これらの情報は、脆弱性の性質、再現手順、および潜在的な影響を詳細に記述しており、脆弱性の深刻度および悪用方法を理解するのに役立ちます。