CAPEC-39СтандартЧерновик
Манипуляция непрозрачными клиентскими токенами данных
В обстоятельствах, когда приложение хранит важные данные на стороне клиента в токенах (cookie-файлах, URL, файлах данных и т. п.), этими данными можно манипулировать. Если клиентские или серверные компоненты приложения повторно интерпретируют эти данные как токены аутентификации или данные (например, цены на товары в магазине или информацию о кошельке), то даже непрозрачная манипуляция этими данными может принести результат злоумышленнику. В данном шаблоне злоумышленник подрывает допущение о том, что клиентские токены были надлежащим образом защищены от подделки с помощью шифрования или запутывания.
Открыть в каталоге с фильтром CAPEC →Связанные CWE
CWE-233
Продукт некорректно обрабатывает ситуацию, когда ожидаемое количество параметров, полей или аргументов не предоставлено во входн
CWE-285
Продукт не выполняет или некорректно выполняет проверку авторизации при попытке субъекта получить доступ к ресурсу или выполнить
CWE-302
Схема или реализация аутентификации использует ключевые элементы данных, предполагаемые неизменяемыми, однако они могут контрол
CWE-315
Продукт хранит конфиденциальную информацию в открытом виде в cookie.
CWE-353
Продукт использует протокол передачи, не включающий механизм проверки целостности данных в процессе передачи, например контрольн
CWE-384
Аутентификация пользователя или иное установление нового сеанса без аннулирования существующего идентификатора сессии предоста
CWE-472
Веб-приложение не выполняет достаточной проверки входных данных, которые считаются неизменяемыми, но фактически могут контролиро
CWE-539
Веб-приложение использует постоянные cookie-файлы, которые содержат конфиденциальные сведения.
CWE-565
Продукт опирается на наличие или значения cookie-файлов при выполнении критических операций безопасности, однако не проверяет надле
Связанные уязвимости
CVE-2026-25893FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. Prior to 1.2.10, an authentication bypass vulnerability in FUXA allows an unauthenticated, remote attacker to gain administrative access via the heartbeat refresh API and execute arbitrary code on the server. This issue has been patched in FUXA version 1.2.10.
CVE-2026-25885PolarLearn is a free and open-source learning program. In 0-PRERELEASE-16 and earlier, the group chat WebSocket at wss://polarlearn.nl/api/v1/ws can be used without logging in. An unauthenticated client can subscribe to any group chat by providing a group UUID, and can also send messages to any group. The server accepts the message and stores it in the group’s chatContent, so this is not just a visual spam issue.
CVE-2022-2595Неправильная авторизация в репозитории GitHub kromitgmbh/titra до версии 0.79.1.
CVE-2021-37705OneFuzz — это платформа Fuzzing-As-A-Service с открытым исходным кодом и самостоятельным размещением. Начиная с OneFuzz 2.12.0 или более поздней версии, неполная проверка авторизации позволяет аутентифицированному пользователю из любого клиента Azure Active Directory выполнять авторизованные вызовы API к уязвимому экземпляру OneFuzz. Чтобы быть уязвимым, развертывание OneFuzz должно быть как версии 2.12.0 или более поздней, так и развернуто с нестандартной опцией --multi_tenant_domain. Это может привести к доступу на чтение/запись к частным данным, таким как информация об уязвимости программного обеспечения и сбоях, инструменты тестирования безопасности, а также проприетарный код и символы. С помощью авторизованных вызовов API это также позволяет вмешиваться в существующие данные и несанкционированно выполнять код на вычислительных ресурсах Azure. Эта проблема решена, начиная с выпуска 2.31.0, путем добавления проверки на уровне приложения `издателя` токена носителя на соответствие списку разрешений, настроенному администратором. В качестве обходного пути пользователи могут ограничить доступ к клиенту развернутого экземпляра OneFuzz < 2.31.0, повторно развернув его в конфигурации по умолчанию, которая исключает опцию `--multi_tenant_domain`.
CVE-2021-31384Из-за недостатка авторизации и недостаточной детализации контроля доступа в определенной конфигурации устройства существует уязвимость в Juniper Networks Junos OS на SRX Series, при которой злоумышленник, пытающийся получить доступ к административным интерфейсам J-Web, может успешно сделать это с любого интерфейса устройства независимо от конфигурации веб-управления и правил фильтрации, которые в противном случае могут защитить доступ к J-Web. Эта проблема затрагивает: Juniper Networks Junos OS SRX Series 20.4 версии 20.4R1 и более поздние версии до 20.4R2-S1, 20.4R3; 21.1 версии до 21.1R1-S1, 21.1R2. Эта проблема не затрагивает Juniper Networks Junos OS версии до 20.4R1.
CVE-2021-20151Trendnet AC2600 TEW-827DRU версии 2.08B01 содержит недостаток в управлении сеансами для устройства. Программное обеспечение управления маршрутизатором управляет веб-сеансами на основе IP-адреса, а не проверяет файлы cookie/токены сеанса клиента и т. д. Это позволяет злоумышленнику (будь то с другого компьютера, другого веб-браузера на той же машине и т. д.) захватить существующий сеанс. Это требует от злоумышленника возможности подделать или захватить исходный IP-адрес сеанса исходного пользователя.
CVE-2020-5206В Opencast до 7.6 и 8.1 использование файла cookie remember-me с произвольным именем пользователя может привести к тому, что Opencast предположит надлежащую аутентификацию для этого пользователя, даже если файл cookie remember-me был неверным, учитывая, что атакованная конечная точка также разрешает анонимный доступ. Таким образом, злоумышленник может, например, подделать токен remember-me, принять личность глобального системного администратора и запросить непубличный контент из службы поиска, не предоставляя никакой надлежащей аутентификации. Эта проблема решена в Opencast 7.6 и Opencast 8.1
CVE-2026-30956OneUptime is a solution for monitoring and managing online services. Prior to 10.0.21, a low‑privileged user can bypass authorization and tenant isolation in OneUptime v10.0.20 and earlier by sending a forged is-multi-tenant-query header together with a controlled projectid header. Because the server trusts this client-supplied header, internal permission checks in BasePermission are skipped and tenant scoping is disabled. This allows attackers to access project data belonging to other tenants, read sensitive User fields via nested relations, leak plaintext resetPasswordToken, and reset the victim’s password and fully take over the account. This results in cross‑tenant data exposure and full account takeover. This vulnerability is fixed in 10.0.21.
CVE-2026-22252LibreChat is a ChatGPT clone with additional features. Prior to v0.8.2-rc2, LibreChat's MCP stdio transport accepts arbitrary commands without validation, allowing any authenticated user to execute shell commands as root inside the container through a single API request. This vulnerability is fixed in v0.8.2-rc2.
CVE-2024-56404В One Identity Identity Manager 9.x до версии 9.3 уязвимость insecure direct object reference (IDOR) позволяет повысить привилегии. Затронуты только локальные установки.
CVE-2024-43602Уязвимость удаленного выполнения кода в Azure CycleCloud.
CVE-2020-3374Уязвимость в веб-интерфейсе управления Cisco SD-WAN vManage Software может позволить прошедшему проверку подлинности удаленному злоумышленнику обойти авторизацию, что позволит ему получить доступ к конфиденциальной информации, изменить конфигурацию системы или повлиять на доступность затронутой системы. Уязвимость связана с недостаточной проверкой авторизации в затронутой системе. Злоумышленник может использовать эту уязвимость, отправив специально созданные HTTP-запросы в веб-интерфейс управления затронутой системы. Успешная эксплуатация может позволить злоумышленнику получить привилегии, выходящие за рамки того, что обычно разрешено для настроенного уровня авторизации пользователя. Злоумышленник может получить доступ к конфиденциальной информации, изменить конфигурацию системы или повлиять на доступность затронутой системы.
CVE-2020-14325Red Hat CloudForms до версии 5.11.7.0 был уязвим для ошибки авторизации User Impersonation, которая позволяет злоумышленнику создавать существующего и несуществующего пользователя управления доступом на основе ролей, с группами и ролями. С выбранной группой EvmGroup-super_administrator злоумышленник может выполнять любой API-запрос как супер-администратор.
CVE-2016-5422Веб-консоль в Red Hat JBoss Operations Network (JON) до версии 3.3.7 неправильно авторизует запросы на добавление пользователей с ролью суперпользователя, что позволяет удаленным аутентифицированным пользователям получать права администратора через специально созданный POST-запрос.
CVE-2026-24305Azure Entra ID Elevation of Privilege Vulnerability