Hello there, ('ω')ノ
電子メールの更新制限をバイパスして、チームメンバーの電子メールの変更を。
脆弱性：
論理の欠陥
承認の欠陥
記事：
ターゲットのウェブサイトでは、ユーザはさまざまな役割で。
他のユーザを招待できて。
管理者のみが他の管理者と低レベルのユーザの詳細を編集できて。
中でも管理者は、プロファイルの詳細のみを編集できて。
すべてのユーザのメールの変更のみに制限されていて。
なので、他のユーザのプロファイルの詳細を編集しようとすると。
電子メールフィールドは下記のようにブロックされて。
メールアドレスを編集することはできず。
これを破るために様々なテクニックを始めることに。
その中の古い手法の１つは、要素を検査することで。
これを回避するために、単にreadonly=””を削除すると。
すると、ブロックは削除されて。
その後、このフィールドのメールアドレスを編集してフォームを送信すると。
メールは正常に更新されて。
ただ、管理者は他のチームメンバーのメールアドレスを変更できるものの。
ターゲットのワークフローに応じて変更することはできないので。
これは、クライアント側での検証はされるものの。
バックエンドの検証がないということで。
Best regards, (^^ゞ
