0xzerosec/cve-2025-55886استشارة توثّق ثغرة IDOR مصادق عليها في واجهة برمجة تطبيقات سجل المدفوعات الخاصة بـ ARD، مما يسمح بالوصول غير المصرح به إلى سجلات مدفوعات المستخدمين الآخرين عبر معامل fe_uid.
تم اكتشاف ثغرة مرجع كائن غير مباشر غير آمن (IDOR) في ARD. الخلل موجود في المعامل fe_uid لنقطة نهاية API لسجل الدفع. يمكن لمهاجم مصادق التلاعب بهذا المعامل للوصول إلى سجل الدفع للمستخدمين الآخرين دون إذن.
https://services.ard.fr/?eID=tx_afereload_records&_dc=1743696277812&fe_uid={USERID]&startTimestamp=1741017877&endTimestamp=1743782677&mobile=1&page=1&start=0&limit=100
ARD GEC en Ligne - بدون إصدار - تم التصحيح في 2025-04-23