Podatności OpenSign

Podatność na ujawnienie informacji w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na mapowanie dowolnego adresu e-mail lub nazwy użytkownika na wewnętrzny identyfikator obiektu (objectId) przez funkcję chmurową Parse getUserId. Funkcja nie wykonuje uwierzytelnienia przed zwróceniem identyfikatora. Atakujący może wykorzystać to do enumeracji kont i przeprowadzenia dalszych ataków.

Podatność ujawnienia informacji w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na pobranie dowolnego rekordu organizacji (tenant) przez funkcję chmurową gettenant Parse. Funkcja przyjmuje parametr contactId i zwraca pełny rekord organizacji bez sprawdzania uwierzytelnienia lub autoryzacji. Atakujący może enumerować i ujawnić dane konfiguracyjne organizacji dla dowolnej organizacji w systemie.

Podatność niebezpiecznego bezpośredniego odwołania do obiektu w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na zapis do dowolnego rekordu kontaktu przez funkcję chmurową updatecontacttour Parse. Funkcja nie wykonuje żadnego uwierzytelnienia ani autoryzacji przed aktualizacją docelowego rekordu kontaktu. Atakujący może uszkodzić lub nadpisać dane kontaktowe dowolnego użytkownika w systemie bez poświadczeń.

Podatność weryfikacji integralności w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na fałszowanie wpisów w dzienniku audytu dokumentów przez funkcję chmurową triggerevent Parse. Funkcja przyjmuje tożsamość widza i adres IP jako parametry podane przez wywołującego bez uwierzytelnienia, umożliwiając tworzenie dowolnych wpisów w dzienniku audytu. Atakujący może manipulować prawnym dziennikiem audytu dowolnego podpisanego dokumentu, podważając niezaprzeczalność.

Podatność niebezpiecznego bezpośredniego odwołania do obiektu w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na pobranie dowolnego rekordu kontaktu przez funkcję chmurową getcontact Parse. Funkcja wykonuje się z useMasterKey i nie wykonuje żadnych kontroli uwierzytelnienia ani autoryzacji przed zwróceniem żądanego obiektu kontaktu. Atakujący może enumerować i odczytać wszystkie rekordy kontaktów, w tym dane osobowe, bez poświadczeń.