Ветка type=track авторизует только _is_my_case(t_attach.case) и никогда не проверяет VinceTrackAttachment.shared. Загруженный координатором артефакт дела, который НЕ был помечен как общий, по-прежнему может быть получен любым участником дела, у которого есть (или отправлен) его uuid — это приводит к утечке еще не выпущенных координатором материалов поставщикам по делу.
Показать оригинальное описание (EN)
The type=track branch authorises on _is_my_case(t_attach.case) only and never checks VinceTrackAttachment.shared. A coordinator-uploaded case artefact that has NOT been marked shared is still retrievable by any case member who has (or is sent) its uuid — leaks not-yet-released coordinator material to vendors on the case.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
cert/cc:vince