Checkmate — это автономный инструмент с открытым исходным кодом, предназначенный для отслеживания и мониторинга серверного оборудования, времени безотказной работы, времени отклика и инцидентов в режиме реального времени с красивой визуализацией. До версии 3.4.0 в конечной точке GET /api/v1/status-page/:url существовала уязвимость раскрытия информации без проверки подлинности. Конечная точка не обеспечивает аутентификацию и не проверяет, опубликована ли страница состояния, прежде чем возвращать полные сведения о странице состояния.
В результате неопубликованные страницы статуса и связанные с ними внутренние данные доступны любому неаутентифицированному пользователю через прямые запросы API. Эта проблема исправлена в версии 3.4.0.
Показать оригинальное описание (EN)
Checkmate is an open-source, self-hosted tool designed to track and monitor server hardware, uptime, response times, and incidents in real-time with beautiful visualizations. Prior to version 3.4.0, an unauthenticated information disclosure vulnerability exists in the GET /api/v1/status-page/:url endpoint. The endpoint does not enforce authentication or verify whether a status page is published before returning full status page details. As a result, unpublished status pages and their associated internal data are accessible to any unauthenticated user via direct API requests. This issue has been patched in version 3.4.0.
Характеристики атаки
Последствия
Строка CVSS v3.1