Zipline 3.7.9以前で招待コードを回避され、未認証でアカウントを作成される脆弱性
概要
Zipline 3.7.9までの/api/auth/registerエンドポイントに認可の不備があり、招待とユーザー登録が有効な場合でも招待コードなしで登録できてしまいます。未認証の攻撃者がアカウントを作成し、多数のファイルをアップロードしてストレージを使い切るおそれがあります。CVSSは v3.1 で 8.6、v4.0 で 8.8 です。修正版の有無は公表されていないため、最新の情報を確認してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Zipline 3.7.9までの/api/auth/registerエンドポイントに認可の不備があり、招待とユーザー登録が有効な場合でも招待コードなしで登録できてしまいます。未認証の攻撃者がアカウントを作成し、多数のファイルをアップロードしてストレージを使い切るおそれがあります。CVSSは v3.1 で 8.6、v4.0 で 8.8 です。修正版の有無は公表されていないため、最新の情報を確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| dicedzipline |
3.7.9 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Zipline through 3.7.9 contains an improper authorization vulnerability in the /api/auth/register endpoint, which enforces invite codes only when user registration is disabled, so registration succeeds without an invite when both invites and user registration are enabled. Unauthenticated attackers can send a direct POST request omitting the invite code to create accounts, view stats, and exhaust storage by uploading many files.
出典: CVE.org (CVE Program・cvelistV5) NVD