CVE-2023-33956

Kanboard, Kanban metodolojisine odaklanan açık kaynaklı bir proje yönetimi yazılımıdır. 1.2.30 öncesi sürümler, uygulamanın URL parametresinde bulunan bir Güvenli olmayan doğrudan nesne referansı (IDOR) güvenlik açığına maruzdur. Bu güvenlik açığı, herhangi bir kullanıcının ayrıcalıklarından veya kısıtlamalarından bağımsız olarak başka herhangi bir kullanıcı tarafından yüklenen dosyaları okumasına olanak tanır. file_id değiştirilerek herhangi bir kullanıcı, MimeType'ı image olan ve **/files** dizini altında yüklenen tüm dosyaları, herhangi bir kullanıcı tarafından yüklenmiş olmasından bağımsız olarak görüntüleyebilir. Bu güvenlik açığı, uygulamanın güvenliği üzerinde önemli bir etki ve ciddiyet oluşturur. URL parametresini manipüle ederek bir saldırgan, yalnızca yetkili kullanıcıların erişebilmesi gereken hassas dosyalara erişebilir. Bu, gizli belgeleri veya uygulama içinde depolanan herhangi bir diğer dosya türünü içerir. Bu dosyaları okuma yeteneği, hassas bilgilerin yetkisiz olarak açığa çıkarılması, gizlilik ihlalleri, fikri mülkiyet hırsızlığı veya ticari sırların açığa çıkarılması gibi çeşitli zararlı sonuçlara yol açabilir. Ayrıca, yasal ve düzenleyici sonuçlara, itibar kaybına, finansal kayıplara ve kullanıcı güveninin potansiyel olarak zedelenmesine neden olabilir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.