یک آسیب‌پذیری امنیتی در محصول CoinEx Crypto 2025 متعلق به Omega Solution شناسایی شده است. این نقص امنیتی در بخش Customer Profile API و به‌طور مشخص در فایل /customer/ رخ داده است که به مهاجم اجازه می‌دهد با دستکاری آرگومان ID، محدودیت‌های دسترسی را دور بزند.
جزئیات فنی آسیب‌پذیری
این مورد یک نمونه کلاسیک از آسیب‌پذیری IDOR (Insecure Direct Object Reference) است که تحت کد CWE-639 طبقه‌بندی می‌شود. در این سناریو، یک کاربر با دسترسی سطح پایین (Low-privilege) می‌تواند با تغییر شناسه (ID) در درخواست‌های ارسالی به API، به داده‌های پروفایل سایر کاربران دسترسی پیدا کرده یا آن‌ها را تغییر دهد.
ویژگی‌های حمله
- نوع دسترسی: نیاز به داشتن یک حساب کاربری معتبر با سطح دسترسی پایین.
- پیچیدگی: پایین (Low Complexity).
- بردار حمله: از راه دور (Remote) و بدون نیاز به تعامل کاربر.
- تاثیرات: تاثیرات محدودی بر محرمانگی (Confidentiality)، یکپارچگی (Integrity) و در دسترس بودن (Availability) داده‌ها دارد.
لازم به ذکر است که وب‌سایت رسمی این محصول دیگر فعال نیست و احتمالاً نرم‌افزار بازنشسته یا جایگزین شده است. همچنین گزارش شده است که سازنده (Vendor) به تلاش‌ها برای اطلاع‌رسانی در مورد این نقص امنیتی پاسخ نداده است.
