Podatności Rallly

Rallly przed wersją 4.5.4 ma podatność IDOR w funkcji finalizacji ankiety. Każdy uwierzytelniony użytkownik może sfinalizować ankietę, której nie jest właścicielem, manipulując parametrem pollId w żądaniu, co pozwala na nieautoryzowaną finalizację i konwersję ankiet na wydarzenia.

Podatność ujawnienia informacji w Rallly przed wersją 4.15.0 w procedurze tRPC polls.get, która zwraca nazwiska i adresy e-mail zaproszonych osób na zaplanowane wydarzenia nieuwierzytelnionym wywołującym. Atakujący mogą uzyskać identyfikator urlId ankiety z publicznych linków zaproszeń, aby pobrać wrażliwe informacje o zaproszonych, niezależnie od ustawień prywatności.

Rallly to narzędzie do planowania i współpracy open-source. Przed wersją 4.5.6 podatność na ujawnienie informacji wystawia szczegóły uczestników, w tym nazwiska i adresy e-mail, przez endpoint /api/trpc/polls.get,polls.participants.list, nawet gdy włączone są funkcje prywatności Pro. To omija zamierzone mechanizmy prywatności, które powinny uniemożliwić uczestnikom przeglądanie danych osobowych innych użytkowników. Problem został naprawiony w wersji 4.5.6.