CAPEC-274ДетальныйЧерновик
Подмена HTTP-метода
Злоумышленник изменяет HTTP-метод (например, GET, PUT, TRACE и т. д.) с целью обхода ограничений доступа. Некоторые веб-окружения позволяют администраторам ограничивать доступ в зависимости от используемого в запросах HTTP-метода. Однако злоумышленники нередко могут указать другой HTTP-метод или даже произвольную строку в качестве метода, чтобы обойти эти защитные меры. Это позволяет злоумышленнику получать доступ к данным, которые в противном случае были бы защищены.
Открыть в каталоге с фильтром CAPEC →Связанные CWE
Связанные уязвимости
CVE-2024-56404В One Identity Identity Manager 9.x до версии 9.3 уязвимость insecure direct object reference (IDOR) позволяет повысить привилегии. Затронуты только локальные установки.
CVE-2025-29813Уязвимость [Spoofable identity claims] Authentication Bypass by Assumed-Immutable Data в Azure DevOps позволяет неавторизованному злоумышленнику повысить привилегии через сеть [1].
Источники:
- [1] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-29813
CVE-2024-43441Уязвимость обхода аутентификации с использованием предполагаемых неизменяемых данных в Apache HugeGraph-Server.
Эта проблема затрагивает Apache HugeGraph-Server: с версии 1.0.0 до версии 1.5.0.
Пользователям рекомендуется обновиться до версии 1.5.0, в которой устранена эта проблема.
CVE-2023-4669Обход аутентификации из-за уязвимости Assumed-Immutable Data в Exagate SYSGuard 3001 позволяет обойти аутентификацию. Эта проблема затрагивает SYSGuard 3001: до версии 3.2.20.0.
CVE-2023-4612Уязвимость неправильной аутентификации в Apereo CAS в методе jakarta.servlet.http.HttpServletRequest.getRemoteAddr позволяет обойти многофакторную аутентификацию. Эта проблема затрагивает CAS: до 7.0.0-RC7. Неизвестно, будет ли исправлена проблема в новых версиях. На дату публикации патча нет, и поставщик не считает это уязвимостью.
CVE-2016-9482Код, сгенерированный PHP FormMail Generator, может позволить удаленному неаутентифицированному пользователю обойти аутентификацию для доступа к панели администратора, перейдя непосредственно к /admin.php?mod=admin&func=panel.
CVE-2026-39429kcp - это планарий управления, подобный Kubernetes, для форм-факторов и вариантов использования за пределами Kubernetes и рабочих нагрузок контейнеров. До 0.30.3 и 0.29.3 сервер кэша непосредственно подвергается воздействию корневого осколка и не имеет аутентификации или авторизации. Это позволяет любому, кто может получить доступ к осколка корня, читать и писать на сервер кэша. Эта уязвимость зафиксирована в 0.30.3 и 0.29.3.
CVE-2025-47158Уязвимость обхода аутентификации в Azure DevOps позволяет неавторизованному злоумышленнику повысить привилегии через сеть. Эта проблема связана с предположительно неизменяемыми данными [1].
Источники:
- [1] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-47158
CVE-2024-49056Обход аутентификации с помощью предполагаемых неизменяемых данных на airlift.microsoft.com позволяет авторизованному злоумышленнику повысить привилегии в сети.
CVE-2024-4024Обнаружена проблема в GitLab CE/EE, затрагивающая все версии, начиная с 7.8 до 16.9.6, все версии, начиная с 16.10 до 16.10.4, все версии, начиная с 16.11 до 16.11.1. При определенных условиях злоумышленник с учетными данными своей учетной записи Bitbucket может захватить учетную запись GitLab, связанную с учетной записью Bitbucket другого пользователя, если Bitbucket используется в качестве поставщика OAuth 2.0 в GitLab.
CVE-2024-12838Механизм входа в систему без пароля в CGFIDO от Changing Information Technology имеет уязвимость обхода аутентификации, позволяющую удаленным злоумышленникам с обычными привилегиями отправлять специально созданный запрос для переключения на личность любого пользователя, включая администраторов.
CVE-2022-22729CAMS для HIS Server, содержащийся в следующих продуктах Yokogawa Electric, неправильно аутентифицирует принимаемые пакеты. Аутентификация может быть обойдена с помощью некоторых специально созданных пакетов: CENTUM CS 3000 версий от R3.08.10 до R3.09.00, CENTUM VP версий от R4.01.00 до R4.03.00, от R5.01.00 до R5.04.20 и от R6.01.00 до R6.08.00, а также Exaopc версий от R3.72.00 до R3.79.00.
CVE-2024-47086Эта уязвимость существует в Apex Softcell LD DP Back Office из-за неправильной реализации механизма проверки OTP в определенных конечных точках API. Аутентифицированный удаленный злоумышленник может использовать эту уязвимость, предоставив произвольное значение OTP для аутентификации и впоследствии изменив свой ответ API. Успешная эксплуатация этой уязвимости может позволить злоумышленнику обойти проверку OTP для других учетных записей пользователей.
CVE-2024-3741Передатчики Electrolink уязвимы для обхода аутентификации, затрагивающего файл cookie для входа в систему. Злоумышленник может установить произвольное значение, кроме 'NO', для файла cookie для входа в систему и получить полный доступ к системе.
CVE-2024-22179Приложение уязвимо для не прошедшей проверку подлинности манипуляции с параметрами, которая позволяет злоумышленнику установить пустые учетные данные,
предоставляя ей доступ к панели администратора. Также уязвимо для захвата учетной записи
и произвольного изменения пароля.