CVE-2024-46627 - BECN DATAGERRY v2.2 中的不正确访问控制允许攻击者 > 通过精心构造的Web请求执行任意命令。

DATAGERRY v2.2 在以下端点的REST API中缺乏访问控制：

/rest/users/<id>/settings/ (GET, POST)

/rest/users/<id>/settings/<setting> (DELETE, PUT)

这使得攻击者可以在未经认证的情况下读取、创建、删除和更新任意用户的设置。

附加信息

• 重现此问题可以使用这里的docker设置：https://datagerry.readthedocs.io/en/latest/admin_guide/setup.html（截至2024年9月25日）。
• 可以从这里的信息确定有效的payload：https://datagerry.readthedocs.io/en/latest/api/rest/user-management.html#settings
• 以下链接提供了带有图片的重现步骤：https://daly.wtf/cve-2024-46627-incorrect-access-control-in-becn-datagerry-v2-2-allows-attackers-to-execute-arbitrary-commands-via-crafted-web-requests/

预期在下个版本中修复。

参考：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-46627