CVE-2022-36539

असुरक्षित प्रत्यक्ष वस्तु संदर्भ (IDOR) WeDayCare B.V.

WeDayCare B.V Ouderapp वर्शन 1.1.22 से पहले हमलावरों को इंटरसेप्ट किए गए कॉल के भीतर ID मान बदलकर अन्य माता-पिता और बच्चों के डेटा तक पहुँच प्राप्त करने की अनुमति देता है।

API के साथ ट्रैफ़िक Burp Suite जैसे प्रॉक्सी के माध्यम से पारदर्शी बनाया जाता है। हालाँकि प्रमाणीकरण के बिना इस तक पहुँचा नहीं जा सकता, ऐसा प्रतीत होता है कि कोई प्राधिकरण लागू नहीं किया गया है। इस तरह मैं न केवल अपने बच्चों का डेटा अनुरोध कर सकता हूँ, बल्कि दूसरे बच्चों का भी। इससे मुझे सभी परिवारों के व्यक्तिगत डेटा की पूर्ण दृश्यता मिलती है, जिसमें ऐप में संसाधित सब कुछ GDPR में परिभाषित है। इसके लिए मुझे केवल ID को किसी दूसरे बच्चे, माता-पिता, चैट या इसी तरह की चीज़ में बदलना होता है।

GET अनुरोध

चित्र