漏洞标题
N/A
漏洞描述信息
express-restify-mongoose 是一个模块，可以轻松为 mongoose 模型创建一个灵活的 REST 接口。express-restify-mongoose 2.4.2 及其早期版本和 3.0.X 至 3.0.1 允许恶意用户发送 `GET /User?distinct=password` 请求，并获取数据库中所有用户的所有密码，尽管该字段设置为 private。如果恶意用户知道特定路由中设置为 private 的值，则可以用于其他私密数据。
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
漏洞类别
N/A
漏洞标题
N/A
漏洞描述信息
express-restify-mongoose is a module to easily create a flexible REST interface for mongoose models. express-restify-mongoose 2.4.2 and earlier and 3.0.X through 3.0.1 allows a malicious user to send a request for `GET /User?distinct=password` and get all the passwords for all the users in the database, despite the field being set to private. This can be used for other private data if the malicious user knew what was set as private for specific routes.
CVSS信息
N/A
漏洞类别
信息暴露
漏洞标题
express-restify-mongoose 安全漏洞
漏洞描述信息
express-restify-mongoose是一款为Mongoose Model创建界面的工具。 express-restify-mongoose 2.4.2及之前版本和3.0.X版本至3.0.1版本中存在安全漏洞。攻击者可通过发送请求利用该漏洞获取数据库中所有用户的密码。
CVSS信息
N/A
漏洞类别
信息泄露