Podatności Attendize

Podatność niebezpiecznego bezpośredniego odwołania do obiektu w Attendize do commit 9289acb pozwala każdemu uwierzytelnionemu organizatorowi wydarzeń na masowe importowanie uczestników do wydarzeń należących do innych kont przez endpoint postImportAttendee. Endpoint ładuje docelowe wydarzenie po ID bez weryfikacji własności względem konta organizatora. Atakujący może wstrzyknąć masowe dane uczestników do dowolnego wydarzenia w systemie, niezależnie od granic kont.

Podatność niebezpiecznego bezpośredniego odwołania do obiektu w Attendize do commit 9289acb pozwala każdemu uwierzytelnionemu organizatorowi wydarzeń na wstrzykiwanie uczestników i zamówień do wydarzeń należących do innych kont przez endpoint postInviteAttendee. Endpoint ładuje docelowe wydarzenie po ID bez ograniczania zapytania do uwierzytelnionego konta organizatora. Atakujący może modyfikować dane wydarzeń i rekordy finansowe ponad granicami kont.

Podatność nieprawidłowej autoryzacji w Attendize do commitu 9289acb umożliwia uwierzytelnionemu zdalnemu atakującemu wstrzykiwanie trwałych obowiązkowych pytań ankietowych do wydarzeń innego organizatora poprzez endpoint POST /event/{event_id}/question/create. Metoda postCreateEventQuestion ładuje docelowe wydarzenie bez zakresu izolacji dzierżawcy, umożliwiając zapisy między dzierżawcami; wstrzyknięte pytanie nie może zostać usunięte przez ofiarę, ponieważ ścieżka usuwania w zakresie konta ofiary nie może rozwiązać pytania należącego do innego dzierżawcy.