Shikata Ga Nai

Private? There is no such things.

IDOR Vulenebility with empty response still exposing sensitive details of customersを訳してみた

Hello there, ('ω')ノ

 

空の応答を伴うIDORの脆弱性は、顧客の機密情報を公開するを。

 

脆弱性:

 IDOR

 

記事:

 https://rahulvarale.medium.com/idor-vulenebility-with-empty-response-still-exposing-sensitive-details-of-customers-bdce0a6a1b07

 

基本的な偵察の後、メインドメインで機能のテストを開始して。

それは、eコマースのウェブサイト(例えば、https://redacted.com)で。

eコマースサイトだったので、配送先住所があって。

アドレスを更新しているときに、address_idパラメータが。

各アドレスの一意のIDであることに気付いて。

 

IDORを試すと、セッションが検証されて。

それぞれのユーザのアドレスしか提供されず。

GET、POST、PUTメソッドを変更しても、何も機能せず。

 

次に、[デフォルトのアドレスとして設定]ボタンをクリックして。

POSTリクエストをでaddress_idとともに下記へ送信すると。

本文が空の状態で、200レスポンスを取得して。

 https://redacted.com/c/def_addr

 

シーケンシャルaddress_idを使用して同じPOSTリクエストを繰り返して。

200のレスポンスと空のレスポンスボディを取得したものの。

アドレスのAPIで遊んだ後、成功せず。

 

次にカートとチェックアウト機能に移動することに。

チェックアウトページをクリックした後、下記にリダイレクトされて。

 https://redacted.com/payment

 

他のユーザのアドレスが違うことに気づき。

これには、顧客名、完全な住所、携帯電話番号が含まれていて。

そのため、すべてのユーザの住所と携帯電話番号が公開されて。

 

Best regards, (^^ゞ