תיאור (מקור, אנגלית)
KitchenOwl through 0.7.10 fails to verify that category IDs belong to the caller's household in expense and item operations. Authenticated attackers can enumerate category IDs from other households to read their category names, budgets, and colors, breaking household isolation.
קישורים7
- github.com/TomBursch/kitchenowl
- github.com/TomBursch/kitchenowl/blob/09aaf5fbd2343fcc10b12e906…
- github.com/TomBursch/kitchenowl/blob/09aaf5fbd2343fcc10b12e906…
- github.com/TomBursch/kitchenowl/commit/c15f6cb21a98d5eb70746be…
- github.com/TomBursch/kitchenowl/issues/1154
- github.com/TomBursch/kitchenowl/pull/1155
- www.vulncheck.com/advisories/kitchenowl-through-0.7.10-idor-vi…
מדדים
- CVSS 3.1
-
4.3
MEDIUM
מקור הציון: CNA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N - CVSS 4.0
-
5.3
MEDIUM
מקור הציון: CNA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X - EPSS — סבירות ניצול
- 0% אחוזון 13 · נכון ל-9 בנובמבר 2026
- CWE
- CWE-639
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.