🇰🇷 한글 설명
VSee Clinic 7.1.26 및 API 1.3.0 버전의 /v1.3.0/api/files 엔드포인트에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 공격자가 'remark' 요청 파라미터를 조작하여 다른 사용자의 파일을 열거, 조회 및 삭제할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 데이터 요청 시 숫자나 이름을 살짝 바꾸는 것만으로 다른 사람의 파일을 몰래 보거나 지울 수 있는 문제입니다. 권한 확인 절차가 제대로 이루어지지 않아 발생하는 보안 허점입니다.
🇺🇸 원문 (English)
VSee Clinic 7.1.26 and API 1.3.0 contain an Insecure Direct Object Reference (IDOR) vulnerability in the /v1.3.0/api/files endpoint. An authenticated attacker can manipulate the 'remark' request parameter to enumerate, retrieve, and delete files belonging to other users on the application server.
📍 영향받는 시스템
VSee Clinic 7.1.26, API 1.3.0
⚔️ 공격 벡터
인증된 사용자가 API 요청 시 'remark' 파라미터 값을 조작하여 타인의 파일 식별자 접근
🛡️ 대응 방법
서버 측에서 요청된 파일의 소유권이 현재 사용자에게 있는지 검증하는 권한 제어 로직을 구현해야 합니다.
🔧 검증 코드
명령어 실행 시 타인의 파일 정보가 반환되거나 삭제 성공 응답이 오면 취약한 상태이며, 권한 오류(403 Forbidden)가 발생해야 안전합니다.
curl -s -X GET 'https://<target>/v1.3.0/api/files?remark=target_id' | grep -E 'status|error'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server