CVE-2024-46627 - خطأ في التحكم بالوصول في BECN DATAGERRY v2.2 يسمح للمهاجمين بتنفيذ أوامر عشوائية عبر طلبات ويب مصممة.

DATAGERRY v2.2 يفتقر إلى التحكم في الوصول في REST API لنقاط النهاية التالية:

/rest/users/<id>/settings/ (GET, POST)

/rest/users/<id>/settings/<setting> (DELETE, PUT)

يسمح هذا للمهاجم بقراءة الإعدادات، وإنشاء الإعدادات، وحذف الإعدادات، وتحديث إعدادات أي مستخدم دون مصادقة.

معلومات إضافية

• لإعادة الإنتاج، من الممكن استخدام إعداد docker هنا: https://datagerry.readthedocs.io/en/latest/admin_guide/setup.html (اعتبارًا من 25 سبتمبر 2024).
• من الممكن تحديد الحمولات الصالحة من المعلومات هنا: https://datagerry.readthedocs.io/en/latest/api/rest/user-management.html#settings
• انظر ما يلي لخطوات إعادة الإنتاج مع الصور: https://daly.wtf/cve-2024-46627-incorrect-access-control-in-becn-datagerry-v2-2-allows-attackers-to-execute-arbitrary-commands-via-crafted-web-requests/

من المتوقع أن يتم إصلاح هذا في الإصدار التالي.

Ref: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-46627