0xzerosec/cve-2025-55886Advisory, das eine authentifizierte IDOR-Schwachstelle in der Zahlungshistorie-API von ARD dokumentiert, die unbefugten Zugriff auf Zahlungsdatensätze anderer Benutzer über den Parameter fe_uid ermöglicht.
Eine Schwachstelle durch unsicheren direkten Objektverweis (IDOR) wurde in ARD entdeckt. Der Fehler besteht im Parameter fe_uid des API-Endpunkts für den Zahlungsverlauf. Ein authentifizierter Angreifer kann diesen Parameter manipulieren, um ohne Autorisierung auf den Zahlungsverlauf anderer Benutzer zuzugreifen.
https://services.ard.fr/?eID=tx_afereload_records&_dc=1743696277812&fe_uid={USERID]&startTimestamp=1741017877&endTimestamp=1743782677&mobile=1&page=1&start=0&limit=100
ARD GEC en Ligne - Nicht versioniert - Gepatched am 2025-04-23