CVE-2022-34770

Tabit - hassas bilgi ifşası. Web sistemindeki çeşitli API'ler; sağlık beyanları, belirli bir restorandaki önceki faturalar, alkol tüketimi ve sigara alışkanlıkları gibi hassas bilgileri yetkilendirme olmaksızın görüntülemektedir. Açıklanan her bir API'nin URL'sinde, numaralandırılması kolay olmayan bir veya daha fazla MongoDB ID bulunmaktadır. Ancak, bunların her biri Tabit alan adında, son eki rakamlar ile küçük ve büyük harflerden oluşan 5 karakterli bir dize olan https://tbit.be/{suffix} biçiminde bir 'tiny URL' almaktadır. Bunların tamamını numaralandırmak kolay değildir ancak çalışan ve kişisel bir uç noktaya yönlendiren bazılarını bulmak oldukça kolaydır. Bu durum hem OWASP: API4 - rate limiting hem de OWASP: API1 - Broken object level authorization örneğidir. Ayrıca, yönlendirme URL'si yukarıda tartışılan MongoDB ID'lerini ifşa etmiş olup, bunları daha fazla kişisel bilgi ifşa eden diğer uç noktaları sorgulamak için kullanabilmişizdir. Örneğin: https://tabitisrael.co.il/online-reservations/health-statement?orgId={org_id}&healthStatementId={health_statement_id} URL'si, arkadaşları restorana gelmeden önce bir sağlık beyanı doldurmaya davet etmek için kullanılır. Tıbbi bilgilerin yanı sıra kimlik numarasını da ifşa eden https://tgm-api.tabit.cloud/health-statement/{health_statement_id} API'sine erişmek için health_statement_id değerini kullanabiliriz.