Ranjivost u okviru portala ministarstva prosvete

[seraphim]

U okviru portala ministarstva prosvete pronadjena je ranjivost IDOR tipa na vise api endpointa koja rezultuje u curenju personalnih podataka(ukljucujuci i brojeva platnih kartica).
Ranjivost je prijavljena certu i po popravljanju bice objavljeno vise detalja.

[milos_rs]

Ovo je ozbiljan propust ako se može vršiti enumeracija svih korisnika na portalu.

ali platne kartice? To mi je neobično, retko ko čuva platne kartice nego vrši transakcije preko eksternih APIja prema bankama i nikad ni ne vidi podatke kartice nego samo da li je transakcija uspela ili nije

[seraphim]

Ovo je ozbiljan propust ako se može vršiti enumeracija svih korisnika na portalu.

ali platne kartice? To mi je neobično, retko ko čuva platne kartice nego vrši transakcije preko eksternih APIja prema bankama i nikad ni ne vidi podatke kartice nego samo da li je transakcija uspela ili nije

Da,doslovno se moze pristupiti svim podacima korisnika na osnovu njihovih user ida(na drugom endpointu na osnovu id-a "prijave"),a cinjenica da su platni podaci u okviru toga bice razjasnjena kada budu popravili ranjivost...
Mada opet ne bi morali(i trebali) da se vracaju korisniku,oni izgleda ceo objekat povuku iz baze,i korisniku potrebne  i nepotrebne informacije...

[milos_rs]

nemamo facepalm emoji pa će poslužiti i ovaj:

Nisam skroz upoznat sa detaljima regulacije i zahteve banaka za čuvanje kartica ali znam da je veoma striktna i da mora da se prolaze razne sertifikacije da bi uopšte smeo da držiš kartice kod sebe na sistemima, uglavnom se zbog toga koristi neka tokenizacija kartica koja može da se koristi prema payment procesoru ali je beskorisna ako se ukrade.

Ovo je jako opasan propust kao i otkriće da čuvaju kartice

[seraphim]

U okviru aplikacije postoji jos jedan endpoint koji sadrzi IDOR tip ranjivosti.
Za sada ranjivosti nisu popravljene.

[VincaSec]

Za ovo bi na Bug Bounty dobio fino lovu

[seraphim]

Za ovo bi na Bug Bounty dobio fino lovu

Verovatno
Samo da ne dobijem domacu varijantu bounty-a, sudski proces i/ili zatvorsku kaznu...

Sta ja ima njima da pricam sta su ranjivosti...

Jos uvek nisu popravili,a platforma je bila jedan dan ugasena,radi odrzavanja...