Uptime Kuma — это автономный инструмент мониторинга с открытым исходным кодом. С 2.0.0 по 2.1.3 команда GET /api/badge/:id/ping/:duration? конечная точка в server/routers/api-router.js не проверяет принадлежность запрошенного монитора к общедоступной группе. Все остальные конечные точки значков проверяют AND public = 1 в своем SQL-запросе перед возвратом данных.
Конечная точка ping полностью пропускает эту проверку, позволяя неаутентифицированным пользователям извлекать данные о среднем пинге/времени ответа для частных мониторов. Эта уязвимость исправлена в версии 2.2.0.
Показать оригинальное описание (EN)
Uptime Kuma is an open source, self-hosted monitoring tool. From 2.0.0 to 2.1.3 , the GET /api/badge/:id/ping/:duration? endpoint in server/routers/api-router.js does not verify that the requested monitor belongs to a public group. All other badge endpoints check AND public = 1 in their SQL query before returning data. The ping endpoint skips this check entirely, allowing unauthenticated users to extract average ping/response time data for private monitors. This vulnerability is fixed in 2.2.0.
Характеристики атаки
Последствия
Строка CVSS v3.1