CVE-2022-34776

Tabit (versões afetadas não especificadas)

O problema diz respeito a várias APIs do sistema web que exibem informações confidenciais sem autorização, incluindo relatórios de saúde, contas anteriores em um restaurante específico, consumo de álcool e hábitos de tabagismo. Essas APIs contêm IDs do MongoDB em suas URLs, o que pode dificultar a enumeração. No entanto, elas podem ser acessadas por meio de “tiny URLs” no formato https://tbit.be/{sufixo}, onde o sufixo é uma sequência de 5 caracteres contendo números e letras maiúsculas e minúsculas. Embora enumerar todos os sufixos possíveis possa ser desafiador, é relativamente fácil encontrar alguns que funcionam e levam a endpoints pessoais. A URL de redirecionamento revela os IDs do MongoDB, que podem então ser usados para consultar outros endpoints e revelar mais informações pessoais.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.