Podatności HuLa-Server

HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w FriendController.friendList, umożliwiającą uwierzytelnionym użytkownikom przeglądanie list znajomych innych użytkowników poprzez podanie parametru uid. Atakujący może wysyłać żądania GET do /user/friend/page z uid ofiary, omijając brak sprawdzenia uprawnień administratora lub właściciela, aby odczytać listę kontaktów dowolnego użytkownika.

HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w FeedController.delFeed, umożliwiającą uwierzytelnionym użytkownikom usuwanie wpisów (momentów) innych użytkowników poprzez podanie dowolnych wartości feedId. Atakujący może wysyłać żądania POST do /feed/del z feedId innego użytkownika, aby usunąć jego wpisy wraz z powiązanymi multimediami, komentarzami i polubieniami.

HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w PrivacyController, umożliwiającą uwierzytelnionym użytkownikom dostęp do ustawień prywatności innych użytkowników poprzez podanie ich uid. Atakujący może wysyłać żądania GET lub POST do /privacy z parametrem uid ofiary, aby odczytać i nadpisać ustawienia UserPrivacy tego użytkownika bez sprawdzenia właściciela.