CodeAstro オンライン求人ポータルにおけるアクセス制御の欠陥により、任意の求人削除が可能

詳細

• ベンダー: CodeAstro
• 製品: Online Job Portal Project in PHP MySQL
• バージョン: 1.0
• 脆弱性タイプ: アクセス制御の欠陥 (IDOR)
• CWE: CWE-639
• 影響を受けるファイル: /jobs/job-delete.php
• パラメータ: id (GET)
• 影響: 認証済みの雇用者が、リクエスト内の id パラメータを操作することで、他の雇用者の求人投稿を削除できる。

説明

CodeAstro が開発した Online Job Portal Project in PHP MySQL は、削除リクエストを処理する前に、認証済みユーザーが求人投稿の所有者であるかどうかを検証できません。GET リクエスト内の id パラメータを変更することで、攻撃者は他の雇用者に属する求人投稿を削除できます。

再現手順

1. 雇用者アカウントを2つ登録する (雇用者 A と雇用者 B)
2. 雇用者 A としてログインし、求人投稿を作成する — 求人 ID をメモする
3. 別のブラウザで雇用者 B としてログインする
4. Burp Suite を使用して、雇用者 B 自身の求人に対する削除リクエストをインターセプトする
5. id パラメータを雇用者 A の求人 ID に変更する
6. リクエストを転送する
7. 雇用者 A の求人投稿が正常に削除される

PoC リクエスト

ステップ 1:- GET /online-job-portal-php-mysql/jobs/job-delete.php?id=[victim_job_id] HTTP/1.1 Host: target Cookie: [attacker_session_cookie]