Dolibarr before 24.0.0 contains a broken object-level authorization vulnerability in the REST API...
概要
Dolibarr before 24.0.0 contains a broken object-level authorization vulnerability in the REST API...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
Dolibarr before 24.0.0 contains a broken object-level authorization vulnerability in the REST API third-party site account write routes that allows authenticated attackers with third-party creation rights to overwrite the WebPortal password of any company by bypassing per-object access checks that are only enforced on read routes. Attackers can replace the victim company's WebPortal password through the write endpoint, authenticate as that company to access its invoice data, and also obtain the victim's previous password verifier from the API response.
出典: NIST National Vulnerability Database NVD GitHub Advisory
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Dolibarrのバージョン24.0.0未満において、REST APIのオブジェクトレベルの認可が不十分なため、第三者がWebポータルの企業パスワードを不正に上書きすることが可能です。この脆弱性により、攻撃者は企業の請求書データへアクセスし、以前のパスワード検証情報を取得することができます。
DolibarrのREST APIにおけるオブジェクトレベルの認可欠陥。
バージョン24.0.0未満のDolibarrのREST APIの第三者作成権限のある経路。
攻撃者が企業のWebポータルパスワードを上書きすることで、不正アクセスとデータ取得が可能。
Dolibarrをバージョン24.0.0にアップデートする。
情報なし
サーバーログを確認し、不審なREST APIアクセスを検出する。