Обход авторизации в компоненте утверждения аварийного восстановления в Ente Technologies Ente Museum Server позволяет аутентифицированному злоумышленнику, настроенному в качестве экстренного контакта жертвы, обойти настроенный период ожидания восстановления и захватить учетную запись жертвы с помощью созданного API-запроса «approve-recovery».
Показать оригинальное описание (EN)
Authorization Bypass in the emergency recovery approval component in Ente Technologies Ente Museum Server allows an authenticated attacker configured as a victim's emergency contact to bypass the configured recovery waiting period and take over the victim's account via a crafted `approve-recovery` API request.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1