Hello there, ('ω')ノ
チームメンバーのメールを変更するためにメール更新制限をバイパスするを。
脆弱性：
論理の欠陥
承認の欠陥
記事：
今回は、redacted .comで提出された古い承認済みレポートについて。
このWebサイトでは、ユーザはさまざまな役割で他のユーザを招待できて。
管理者ユーザのみが他の管理者と低レベルユーザの詳細を編集できますが。
管理者はプロファイルの詳細のみを編集できるものの。
すべてのユーザのメールを変更するように制限されていて。
すべてのユーザリストに移動して他のユーザのプロファイルの詳細を。
編集しようとすると、電子メールフィールドは次のようになって。
つまり、メールアドレスを編集することはできず。
それで、それを壊すために様々なテクニックを始めて。
誰もが知っていた古い手法の１つは、要素を検査することで。
これを回避するために、単にreadonly=””を削除するとブロッカーは削除されたので。
このフィールドのメールアドレスを編集してフォームを送信すると。
メールは正常に更新されて。
そのため、現在、管理者は他のチームメンバーの電子メールアドレスを変更できて。
ターゲットのワークフローによれば、これは発生しないはずで。
これは、クライアント側の検証は存在するが。
バックエンドの検証が欠落していることを確認して。
Webサイトのワークフローに従って、管理者の役割のユーザのみが。
他のユーザの電子メールアドレスを変更でき。
Webサイトでは電子メールの更新が許可されていないため。
被害者のユーザは古い資格情報でログインできるものの。
被害者が実行したアクションは攻撃者が更新した電子メールで記録されるため。
重大度は受け入れられて。
Best regards, (^^ゞ
