PT-2022-22250 · Mealie · Mealie

Bruno Hernández · Publicado 2022-08-19 · Atualizado 2022-08-23 · CVE-2022-34621

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Mealie versão 1.0.0beta3

Descrição

A falha permite que invasores modifiquem senhas de usuários e outros atributos por meio da alteração do parâmetro user id. Isso se deve a uma vulnerabilidade de referência direta a objetos insegura (IDOR).

Recomendações

Para a versão 1.0.0beta3 do Mealie, evite usar o parâmetro user id nos pontos de extremidade da API afetados até que o problema seja resolvido. Como solução temporária, considere restringir o acesso à funcionalidade de modificação de atributos do usuário para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2022-34621

Produtos afetados

Mealie

Referências · 8

• https://hub.docker.com/r/hkotel/mealie · Nota
• https://docs.mealie.io/changelog/v0.5.6 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-34621 · Nota de Segurança
• https://gainsec.com/2022/08/19/cve-2022-34615-cve-2022-34621-cve-2022-34623-cve-2022-34624 · Nota
• https://cwe.mitre.org/data/definitions/639.html · Nota
• https://t.me/cibsecurity/48439 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-34621 · Aviso do Fabricante
• https://portswigger.net/web-security/access-control/idor · Nota