PT-2025-46999 · Alteryx+1 · Alteryx Server+1
CVE-2025-63291
·
Publicado
2025-11-14
·
Atualizado
2025-11-16
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do servidor Alteryx 2022.1.1.42654 e 2024.1
Descrição
O servidor Alteryx não valida corretamente a autorização do usuário ao processar requisições de API que utilizam IDs de objeto do MongoDB para identificar dados. Especificamente, o servidor falha em verificar se o usuário autenticado possui permissão para acessar o ID de objeto do MongoDB especificado. Isso permite que atacantes potencialmente acessem registros pertencentes a outros usuários sem a devida autorização. Os dados comprometidos podem incluir chaves de API administrativas e chaves de API privadas do Studio. Os endpoints de API envolvidos não são especificados explicitamente, mas o problema relaciona-se à recuperação de dados baseada em IDs de objeto do MongoDB. A variável vulnerável é o ID de objeto do MongoDB utilizado nas requisições de API.
Recomendações
Versão do servidor Alteryx 2022.1.1.42654: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Versão do servidor Alteryx 2024.1: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alteryx Server
Mongodb