CVE-2022-34770

Tabit - həssas məlumatların sızması. Veb sistemindəki bir neçə API, autentifikasiya olmadan sağlamlıq bəyanatları, müəyyən restorandakı əvvəlki hesablar, alkoqol istifadəsi və siqaret çəkmək vərdişləri kimi həssas məlumatları göstərir. Təsvir edilən hər bir API-nin URL-də sadə şəkildə sıralamaq mümkün olmayan bir və ya daha çox MongoDB ID-si var. Lakin onların hər biri Tabit domenində, rəqəmlərdən, kiçik və böyük hərflərdən ibarət 5 simvollu suffix ilə `https://tbit.be/{suffix}` formasında 'tiny URL' qəbul edir. Onların hamısını sıralamaq o qədər də sadə deyil, lakin işləyən və şəxsi son nöqtəyə (endpoint) yönləndirən bəzilərini tapmaq olduqca asandır. Bu, həm OWASP: API4 - rate limiting, həm də OWASP: API1 - Broken object level authorization nümunəsidir. Bundan əlavə, yönləndirmə URL-i yuxarıda müzakirə edilən MongoDB ID-lərini sızdırır və biz onlardan digər şəxsi məlumatları açan son nöqtələri sorğulamaq üçün istifadə edə bilərik. Məsələn: `https://tabitisrael.co.il/online-reservations/health-statement?orgId={org_id}&healthStatementId={health_statement_id}` URL-indən dostları restorana gəlməzdən əvvəl sağlamlıq bəyanatı doldurmağa dəvət etmək üçün istifadə olunur. Biz tibbi məlumatlarla yanaşı, şəxsiyyət nömrəsini də sızdıran `https://tgm-api.tabit.cloud/health-statement/{health_statement_id}` API-nə daxil olmaq üçün `health_statement_id`-dən istifadə edə bilərik.