Уязвимость в клиентском REST API forUP позволяет любому прошедшему проверку подлинности клиенту с низким уровнем привилегий получить доступ к конечной точке, которая
возвращает записи других пользователей без проверки того, что вызывающий объект владеет данными, связанными с этой записью.
Показать оригинальное описание (EN)
A vulnerability in the foreUP customer REST API allows any authenticated, low-privilege customer to access an endpoint that returns the records of other users without checking that the caller owns the data associated with that record.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1