Fix IDOR on attendee selection response

[ch0rizo]

Kjære dotkom,

Takk for at dere viste oss hvordan responsible disclosure gjøres🙏 Vi tok det til oss.

Vi fant at updateSelectionResponsesProcedure kun sjekket at du var innlogget - ikke at du faktisk eier attendee-recordet du prøver å endre. To linjer fikset det. Lar hvem som helst melde seg på pils og sprit på andres vegne🍺

Men siden vi først var innom kodebasen ofret vi et par tusen tokens til... og fant vi et par ting👀

• user.findByUsername og user.getByUsername er helt åpne og returnerer full UserSchema - epost, telefon, kosthold og alt. Ingen auth. Ingen projeksjon. Bare ta deg til rette.
• event.get, event.find og event.attendance.getAttendance er heller ikke autentisert, og embedder full UserSchema på alle attendees. Historisk masseeksponering av PII for alle som har meldt seg på et arrangement.

Dere har til og med laget PublicUserSchema - så dere er på god vei😇

Ingen interessegrupper for pils og sprit ble stiftet i prosessen.

Mvh Webkom❤️
PS: Vi er også den beste kodekomiteen på NTNU

[brage-andreas]

goated

[brage-andreas]

Nice!