Ehaby

تقوم لوحة التحكم على الويب باستبدال الموضع النائب `$SESSION TOKEN` في روابط التطبيقات الخارجية بمفتاح API كامل الصلاحيات دون التحقق مما إذا كان التطبيق ينتمي إلى وكيل فرعي. يتيح ذلك للكود الذي يعمل في مساحة عمل تسجيل تطبيق وكيل فرعي متنكر باستخدام رابط بروتوكول مخصص، مما يؤدي إلى إرسال مفتاح API الخاص بالمالك إلى وجهة يختارها المهاجم عند النقر.

تؤدي القيود غير الكافية على إنشاء مفاتيح API جديدة إلى السماح لمفتاح API محدود النطاق أو رمز OAuth2 يمتلك صلاحيات إنشاء المفاتيح بتجاوز النطاقات، وقوائم السماح، وحدود انتهاء الصلاحية. من خلال استدعاء نقطة النهاية 'POST /api/v2/users/{user}/keys/tokens'، يمكن للمهاجم إنشاء مفاتيح ذات صلاحية أطول وبصلاحيات `coder:all` ، مما يمنحه كامل امتيازات المستخدم.