CWE-1057 · Операции доступа к данным вне ожидаемого компонента-менеджера данных

CWE-1057БазаНеполный

Абстракция: База

Статус: Неполный

Операции доступа к данным вне ожидаемого компонента-менеджера данных

Продукт использует выделенный централизованный компонент-менеджер данных в соответствии с проектным решением, однако содержит код, выполняющий операции доступа к данным без использования этого менеджера.

Открыть в каталоге с фильтром CWE →

Связанные CAPEC

—

Связанные уязвимости

CVE-2024-8143В последней версии (20240628) gaizhenbiao/chuanhuchatgpt существует проблема в эндпоинте /file, которая позволяет аутентифицированным пользователям получать доступ к истории чатов других пользователей. Когда пользователь входит в систему, в папке history создается каталог с именем пользователя. Манипулируя эндпоинтом /file, аутентифицированный пользователь может перечислять и получать доступ к файлам в каталогах других пользователей, что приводит к несанкционированному доступу к личной истории чатов. Эта уязвимость может быть использована для чтения личной истории чатов любого пользователя.