Shlink through 5.1.6 fails to enforce API key role restrictions when issuing Mercure subscription tokens, allowing restricted keys to subscribe to all topics. Attackers with author-only or domain-only keys can access the mercure-info endpoint to receive visit data including referrer, user agent, geolocation, and full short URL objects for URLs outside their authorization boundary.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
shlinkio:shlink
Ссылки 5
https://github.com/shlinkio/shlink
disclosure@vulncheck.com
https://github.com/shlinkio/shlink-common/blob/main/src/Mercure/LcobucciJwtProv…
disclosure@vulncheck.com
https://github.com/shlinkio/shlink/blob/v5.1.6/module/Rest/src/Action/MercureIn…
disclosure@vulncheck.com
https://github.com/shlinkio/shlink/issues/2633
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/shlink-through-5.1.6-mercure-token-authori…
disclosure@vulncheck.com