Shllokkk

Existe uma falha de bypass de autorização em um endpoint que aceita uma flag fornecida pelo chamador para desativar a aplicação de permissões. Atacantes autenticados podem definir essa flag ao chamar o endpoint para ignorar as verificações de permissão e ler registros de terceiros além de sua função permitida.

Certos endpoints não aplicam verificações de autorização adequadas. Isso permite que atacantes autenticados enviem solicitações a esses endpoints para modificar documentos e dados além das permissões concedidas ao seu papel atribuído.

Existe um problema em um endpoint de criação de registros que aceita o tipo de registro da requisição e insere o registro com as verificações de permissão desativadas. Isso permite que qualquer usuário autenticado, independentemente de sua função operacional, especifique um tipo de registro privilegiado para criar contas privilegiadas e assumir o controle total do site.