madong-admin-saasの脆弱性、認証なしでテナント操作
Summary
madong-admin-saasの5.1.4以前では、認証なしでテナントの作成や削除、プランの紐づけができてしまいます。運用している組織は修正を取り込み、/platformapi/への到達を絞ったうえで、アクセスログも確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
madong-admin-saasの5.1.4以前では、認証なしでテナントの作成や削除、プランの紐づけができてしまいます。運用している組織は修正を取り込み、/platformapi/への到達を絞ったうえで、アクセスログも確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| madong-code | madong-admin-saas |
≤ 5.1.4 |
— |
Original description The description as published by the source.
madong-admin-saas through 5.1.4 contains a missing authentication vulnerability in the platform tenant management API because the 'platformapi' middleware key never matches the 'platform' application. Unauthenticated remote attackers can call /platformapi/tenant/account, bind-plan and sync-data endpoints to list, create, modify, disable or delete tenants and bind subscription plans.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory