Low-privilege users could read private asset contents when editing an asset (IDOR)
Beschreibung
Ein niedrig privilegierter authentifizierter Benutzer kann private Asset-Inhalte lesen, indem er "Assets / Edit-Image" mit einer beliebigen "AssetId" aufruft, die er nicht anzeigen darf. Der Endpunkt gibt Bildbytes (oder eine Vorschauumleitung) zurück, ohne eine Autorisierungsprüfung für die einzelne Ansicht zu erzwingen, was zu einer möglichen unbefugten Offenlegung privater Dateien führt. ### Details Wurzelursache: - Eine benutzergesteuerte Objektreferenz ("assetId") wird verwendet, um sensible Inhalte zu laden und zurückzugeben. - Die Aktion überprüft nicht, ob der aktuelle Benutzer berechtigt ist, dieses Asset anzuzeigen. - Dadurch wird ein authentifizierter IDOR / Autorisierungsbypass erstellt. ### Impact - Craft-Installationen, in denen private / nicht-öffentliche Vermögenswerte vorhanden sind und Benutzer mit geringen Privilegien sich authentifizieren können. ## Referenzen https://github.com/craftcms/cms/commit/7290d91639e
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 4.17.8, 5.9.14.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Pixel & Tonic Craft CMS.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.