CVE-2023-46449

التحكم في الوصول غير الصحيح

رابط فيديو الإثبات https://www.youtube.com/watch?v=H5QnsOKjs3s

نظام إدارة المخزون المجاني ومفتوح المصدر من Sourcecodester الإصدار 1.0 عرضة للتحكم في الوصول غير الصحيح. يمكن لأي مستخدم عادي تغيير كلمة مرور مستخدم آخر والاستيلاء على الحساب عبر IDOR في وظيفة تغيير كلمة المرور.

خطوات إعادة الإنتاج

1. قم بتسجيل الدخول إلى المستخدم 1
2. قم بزيارة وظيفة تغيير كلمة المرور.
3. قم بإعداد البروكسي باستخدام Burp Suite لاعتراض الطلب.
4. أرسل طلب تغيير كلمة المرور، واعترض الطلب وقم بالتلاعب بمعرف المستخدم لتغيير كلمة مرور مستخدم آخر.
5. قم بإعادة توجيه الطلب وأوقف الاعتراض.
6. قم بتسجيل الدخول إلى المستخدم الآخر باستخدام كلمة المرور الجديدة.
7. لاحظ أن الحساب تم اختراقه بنجاح.

المكون المتأثر وظيفة تغيير كلمة المرور

Attack Type] عن بُعد

---

CVE Impact Other الاستيلاء على الحساب

---

نواقل الهجوم يُحتاج معرف الضحية والذي يمكن تعداده بسهولة.

---

المرجع https://youtu.be/H5QnsOKjs3s

---

المكتشف Sajal Jat