Speckle Server предоставляет сервер, интерфейс, 3D-просмотрщик и другие утилиты JavaScript для платформы 3D-данных Speckle. Уязвимость в ве…

Speckle Server предоставляет сервер, интерфейс, 3D-просмотрщик и другие утилиты JavaScript для платформы 3D-данных Speckle. Уязвимость в версиях до 2.17.6 затрагивает пользователей, которые: авторизовали приложение, которое запросило область 'token write', или, используя frontend-2, создали личный токен доступа (PAT) с областью `token write`. При создании нового токена агент должен авторизовать запрос с помощью существующего токена (запрашивающего токена). Запрашиваемый токен должен иметь область записи токена, чтобы создавать новые токены. Однако Speckle server не проверял, что другие привилегии, предоставленные новому токену, не превышают привилегии запрашивающего токена. Злоумышленник мог использовать токен только с областью записи токена для последующего создания других токенов с дополнительными привилегиями. Эти привилегии будут предоставлять привилегии только до существующих привилегий пользователя. Эта уязвимость не может быть использована для повышения привилегий пользователя или предоставления привилегий от имени других пользователей. Это было исправлено в версии 2.17.6. Все операторы серверов Speckle должны обновить свой сервер до версии 2.17.6 или выше. Любые пользователи, которые авторизовали приложение с областью `token write` или создали токен в frontend-2 с областью `token write`, должны просмотреть существующие токены и навсегда отозвать все, которые они не распознают, отозвать существующие токены и создать новые токены, а также просмотреть использование своей учетной записи на предмет подозрительной активности. Известных обходных путей для этой проблемы не существует.