Zipline 3.7.9以前で招待コードを回避され、未認証でアカウントを作成される脆弱性
Summary
Zipline 3.7.9までの/api/auth/registerエンドポイントに認可の不備があり、招待とユーザー登録が有効な場合でも招待コードなしで登録できてしまいます。未認証の攻撃者がアカウントを作成し、多数のファイルをアップロードしてストレージを使い切るおそれがあります。CVSSは v3.1 で 8.6、v4.0 で 8.8 です。修正版の有無は公表されていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Zipline 3.7.9までの/api/auth/registerエンドポイントに認可の不備があり、招待とユーザー登録が有効な場合でも招待コードなしで登録できてしまいます。未認証の攻撃者がアカウントを作成し、多数のファイルをアップロードしてストレージを使い切るおそれがあります。CVSSは v3.1 で 8.6、v4.0 で 8.8 です。修正版の有無は公表されていないため、最新の情報を確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| dicedzipline |
≤ 3.7.9→ Not listed |
Not listed |
This record does not list fixed versions. Check the article or the vendor advisory in the references for whether and where it is fixed.
Original description The description as published by the source.
Zipline through 3.7.9 contains an improper authorization vulnerability in the /api/auth/register endpoint, which enforces invite codes only when user registration is disabled, so registration succeeds without an invite when both invites and user registration are enabled. Unauthenticated attackers can send a direct POST request omitting the invite code to create accounts, view stats, and exhaust storage by uploading many files.
Source: CVE.org (CVE Program・cvelistV5) NVD