IXP Manager is a full-stack web application for managing Internet Exchange Points. Prior to version 7.3.0, an authenticated user can view and edit a resource belonging to another user without authorization. The API-key edit/update path in `ApiKeyController` selects records by identifier without checking that `user_id` matches the caller, allowing access to another user's API-key record.
This issue is fixed in version 7.3.0.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
inex:ixp-manager
Ссылки 3
https://github.com/inex/IXP-Manager/security/advisories/GHSA-m7g4-g69h-vj5w
https://github.com/inex/IXP-Manager/security/advisories/GHSA-m7g4-g69h-vj5w
https://github.com/inex/IXP-Manager/commit/3856e93681cc5efdaf9e3a7f53a751081433…
https://github.com/inex/IXP-Manager/commit/3856e93681cc5efdaf9e3a7f53a751081433d021
https://github.com/inex/IXP-Manager/releases/tag/v7.3.0
https://github.com/inex/IXP-Manager/releases/tag/v7.3.0