0xzerosec/cve-2025-55886Advisory que documenta una vulnerabilidad IDOR autenticada en la API de historial de pagos de ARD, que permite el acceso no autorizado a los registros de pago de otros usuarios a través del parámetro fe_uid.
Se descubrió una vulnerabilidad de Referencia Directa Insegura a Objetos (IDOR) en ARD. La falla existe en el parámetro fe_uid del endpoint de la API del historial de pagos. Un atacante autenticado puede manipular este parámetro para acceder al historial de pagos de otros usuarios sin autorización.
https://services.ard.fr/?eID=tx_afereload_records&_dc=1743696277812&fe_uid={USERID]&startTimestamp=1741017877&endTimestamp=1743782677&mobile=1&page=1&start=0&limit=100
ARD GEC en Ligne - Sin versión - Corregido el 2025-04-23