Shaark 1.2.13 through 1.2.44 contains a missing authorization vulnerability in the Link, Story, Chest and Album API controllers that skips ownership checks. Authenticated non-admin users can send PUT or DELETE requests to /api/{link,story,chest,album}/{id} with numeric IDs to overwrite or delete other users' content, including private items.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 4
https://github.com/MarceauKa/shaark
disclosure@vulncheck.com
https://github.com/MarceauKa/shaark/blob/1.2.44/app/Http/Controllers/Api/LinkCo…
disclosure@vulncheck.com
https://github.com/MarceauKa/shaark/pull/110
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/shaark-1.2.13-through-1.2.44-missing-autho…
disclosure@vulncheck.com