CVE-2025-62642
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 posiada API rejestracji 'Anyone Can Join This Party', które nie weryfikuje tworzenia kont użytkowników, co pozwala zdalnemu nieuwierzytelnionemu atakującemu na utworzenie konta użytkownika.
Ocena ryzyka
Nieautoryzowany atakujący może utworzyć konto użytkownika, co może prowadzić do nieautoryzowanego dostępu do funkcji platformy i potencjalnych naruszeń bezpieczeństwa.
Rekomendacja
Należy wdrożyć weryfikację tworzenia kont, np. poprzez potwierdzenie e-mail lub CAPTCHA, oraz ograniczyć dostęp do API rejestracji.
Inne podatności w RBI assistant platform
Zobacz wszystkie- CVE-2025-62645Krytyczne
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 pozwala zdalnemu uwierzytelnionemu atakującemu uzyskać token z uprawnieniami administracyjnymi dla całej platformy poprzez mutację GraphQL createToken.
- CVE-2025-62651Średnie
Platforma asystenta Restaurant Brands International (RBI) do dnia 2025-09-06 nie implementuje kontroli dostępu dla interfejsu oceny łazienek. Oznacza to, że każdy użytkownik może uzyskać dostęp do tego interfejsu bez autoryzacji.
- CVE-2025-62650Wysokie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 opiera się na uwierzytelnianiu po stronie klienta w celu korzystania z ekranu diagnostycznego.
- CVE-2025-62649Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 opiera się na uwierzytelnianiu po stronie klienta przy składaniu zamówień na sprzęt. Oznacza to, że kontrola dostępu może być łatwo ominięta.
- CVE-2025-62648Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 umożliwia zdalnym atakującym regulację głośności audio głośników Drive Thru.
- CVE-2025-62647Średnie
Platforma asystencka Restaurant Brands International (RBI) do 2025-09-06 umożliwia zwrócenie JWT, który może być użyty do wywołania API w celu uzyskania podpisanego URL-a do przesyłania plików do AWS dla ścieżki dowolnego sklepu.
- CVE-2025-62646Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 pozwala zdalnym atakującym na przeglądanie zapisanych nagrań audio rozmów między pracownikami a klientami Drive Thru. Może to prowadzić do naruszenia prywatności.
- CVE-2025-62644Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 posiada Global Store Directory, który udostępnia dane osobowe pomiędzy uwierzytelnionymi użytkownikami. Luka polega na niewłaściwym udostępnianiu informacji osobistych wśród zalogowanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Restaurant Brands International (RBI) assistant platform through 2025-09-06 has an "Anyone Can Join This Party" signup API that does not verify user account creation, allowing a remote unauthenticated attacker to create a user account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS