CVE-2023-34927

Wykryto podatność w Casdoor do wersji 3.161.1. Dotyczy funkcji ApiFilter w pliku routers/authz_filter.go komponentu API Endpoint. Manipulacja prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być użyty. Producent został poinformowany, ale nie odpowiedział.

Casdoor do wersji 4.4.0 zawiera podatność obejścia autoryzacji w punkcie końcowym /api/mcp, która pozwala atakującym z dowolnym clientId i clientSecret aplikacji uzyskać nieograniczony dostęp do administracji użytkownikami we wszystkich organizacjach. Atakujący mogą wyliczać rekordy użytkowników, w tym sole haseł i adresy e-mail, tworzyć konta administratorów, modyfikować i usuwać użytkowników w dowolnej organizacji.

Casdoor do wersji 4.4.0 nie maskuje prawidłowo wbudowanego, instancyjnego klucza prywatnego certyfikatu w endpointach /api/get-certs i /api/get-cert, umożliwiając jego pobranie administratorom organizacji. Ujawniony klucz pozwala sfałszować tokeny JWT dla dowolnego użytkownika w dowolnej organizacji, w tym globalnych administratorów.

W Casdoor do wersji 3.164.0/4.10.0 wykryto lukę w funkcji CasP3ProxyValidate w pliku controllers/cas.go komponentu Proxy Validation. Manipulacja argumentem pgtUrl prowadzi do podatności SSRF (Server-Side Request Forgery). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Podatność w Casdoor do wersji 4.0.0 dotyczy nieznanej funkcji w pliku controllers/resource.go komponentu upload-resource API. Manipulacja prowadzi do braku uwierzytelnienia, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony, a vendor usunął zgłoszenie GitHub bez wyjaśnienia i nie odpowiedział na kontakt mailowy.

W aplikacji istnieją punkty końcowe API przeznaczone do celów deweloperskich i testowych, które odzwierciedlają funkcjonalność produkcyjną. Oznacza to, że mogą one być dostępne w środowisku produkcyjnym, co stwarza ryzyko nieautoryzowanego dostępu.

Casdoor 2.356.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie Webhook URL Handler. Atak może być przeprowadzony zdalnie bez uwierzytelnienia.

W systemie Casdoor w wersji 2.356.0 funkcja dangerouslySetInnerHTML jest podatna na atak XSS poprzez manipulację argumentami formCss, formCssMobile lub formSideHtml. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.

W Casdoor 2.356.0 stwierdzono podatność w komponencie OAuth Authorization Request Handler. Manipulacja argumentem redirect_uri prowadzi do otwartego przekierowania. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie Casdoor w wersji 2.26.0 i wcześniejszych, w module weryfikacji uprawnień oraz interfejsie edycji organizacji/aplikacji, stwierdzono podatność umożliwiającą zdalnie uwierzytelnionym administratorom dowolnej organizacji ominięcie mechanizmu weryfikacji uprawnień poprzez bezpośrednie łączenie adresów URL po zalogowaniu. Problem został naprawiony w wersji 2.63.0.