PT-2026-52546 · Newsblur · Newsblur
CVSS v4.0
5.3
Média
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
NewsBlur versões anteriores a 14.5.0
Description
Um controle de acesso quebrado permite que usuários autenticados leiam feeds de notificações privados. Ao fornecer valores arbitrários de
user id para o endpoint 'GET /social/interactions', um invasor pode ignorar a verificação de propriedade para acessar seguimentos, respostas e atividades sociais de outro usuário por meio da enumeração de valores de user id.Recommendations
Atualize para a versão 14.5.0 ou posterior.
Evite usar o parâmetro
user id no endpoint 'GET /social/interactions' para acessar dados que não pertençam ao usuário autenticado.Exploit
Correção
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Newsblur