Podatności X-SpringBoot

X-SpringBoot do wersji 6.0 nie posiada autoryzacji na poziomie obiektu w endpointach zarządzania użytkownikami. Sub-administratorzy mogą modyfikować lub usuwać użytkowników bez weryfikacji właściciela. Atakujący z uprawnieniami do zarządzania użytkownikami może resetować hasła dowolnego konta, w tym superadministratora, zmieniać role lub usuwać użytkowników przez endpointy POST /sys/user/update i POST /sys/user/delete.

X-SpringBoot w wersji do 6.0 ujawnia poświadczenia appKey i appSecret w punkcie końcowym GET /application/manager/select bez uwierzytelniania i filtrowania pól. Nieuwierzytelnieni atakujący mogą pobrać te poświadczenia i użyć ich do wysyłania dowolnych wiadomości SMS przez dostawcę SMS dowolnego najemcy, umożliwiając ataki SMS bombing i podszywanie się.

X-SpringBoot do wersji 6.0 zawiera zakodowany na stałe statyczny kod weryfikacyjny logowania głównego 172839, domyślnie włączony w seedzie bazy danych. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, podając publiczny kod główny do endpointu emailOrMobileLogin ze znanym adresem e-mail lub numerem telefonu.

X-SpringBoot do wersji 6.0 zwraca kody weryfikacyjne logowania w odpowiedziach HTTP z nieuwierzytelnionych endpointów GET /sys/mobile/code i GET /sys/email/code, nie wysyłając ich do właścicieli kont. Atakujący może zażądać kodów dla znanych numerów telefonów lub adresów e-mail, odczytać je z odpowiedzi i zalogować się jako ofiary przez POST /sys/emailOrMobileLogin/login, przejmując konta.