| タイトル | dibo-software diboot v3.8.0 Broken Access Control |
|---|
| 説明 | The tenant administrator management API allows any authenticated user to query and modify another tenant's admin account by supplying a tenantId. Because the controller and service only trust the externally provided tenantId and do not verify the caller's ownership or management permission, an attacker can overwrite tenant admin credentials, realname, status, and account binding information for arbitrary tenants. |
|---|
| ソース | ⚠️ https://drive.google.com/file/d/1D9XNhOV7wkc4dl2M59hTML0pmVF9irbi/view?usp=sharing |
|---|
| ユーザー | Stephen Lin (UID 98370) |
|---|
| 送信 | 2026年07月01日 09:37 (2 月 ago) |
|---|
| モデレーション | 2026年08月31日 07:33 (2 months later) |
|---|
| ステータス | 承諾済み |
|---|
| VulDBエントリ | 397234 [dibo-software diboot 3.8.0 Tenant Administrator Management API /admin/ tenantId 特権昇格] |
|---|
| ポイント | 19 |
|---|