Vulnerabilities > CVE-2019-13337 - Authorization Bypass Through User-Controlled Key vulnerability in Weseek Growi

CVSS 5.0 - MEDIUM

Attack vector

NETWORK

Attack complexity

LOW

Privileges required

NONE

Confidentiality impact

NONE

Integrity impact

PARTIAL

Availability impact

NONE

network

low complexity

weseek

CWE-639

NVD

Published: 2019-07-09

Updated: 2020-08-24

Summary

In WESEEK GROWI before 3.5.0, the site-wide basic authentication can be bypassed by adding a URL parameter access_token (this is the parameter used by the API). No valid token is required since it is not validated by the backend. The website can then be browsed as if no basic authentication is required.

Vulnerable Configurations

Part	Description	Count
Application	Weseek Weseek Growi 1.0.0 Weseek Growi 1.0.1 Weseek Growi 1.0.2 Weseek Growi 1.0.3 Weseek Growi 1.0.4 Weseek Growi 1.0.5 Weseek Growi 1.0.6 Weseek Growi 1.0.7 Weseek Growi 1.0.8 Weseek Growi 1.0.9 Weseek Growi 1.1.0 Weseek Growi 1.1.1 Weseek Growi 1.1.2 Weseek Growi 1.1.3 Weseek Growi 1.1.4 Weseek Growi 1.1.5 Weseek Growi 1.1.6 Weseek Growi 1.1.7 Weseek Growi 1.1.8 Weseek Growi 1.1.9 Weseek Growi 1.1.10 Weseek Growi 1.1.11 Weseek Growi 1.1.12 Weseek Growi 1.2.0 Weseek Growi 1.2.1 Weseek Growi 1.2.2 Weseek Growi 1.2.3 Weseek Growi 1.2.4 Weseek Growi 1.2.5 Weseek Growi 1.2.6 Weseek Growi 1.2.8 Weseek Growi 1.2.9 Weseek Growi 1.2.10 Weseek Growi 1.2.11 Weseek Growi 1.2.13 Weseek Growi 1.2.14 Weseek Growi 1.2.15 Weseek Growi 1.2.16 Weseek Growi 1.3.0 Weseek Growi 1.3.1 Weseek Growi 1.4.0 Weseek Growi 1.5.0 Weseek Growi 1.5.1 Weseek Growi 1.5.2 Weseek Growi 1.5.3 Weseek Growi 1.6.0 Weseek Growi 1.6.2 Weseek Growi 2.0.0 Weseek Growi 2.0.1 Weseek Growi 2.0.5 Weseek Growi 2.0.6 Weseek Growi 2.0.7 Weseek Growi 2.0.8 Weseek Growi 2.0.9 Weseek Growi 2.1.0 Weseek Growi 2.1.1 Weseek Growi 2.1.2 Weseek Growi 2.2.0 Weseek Growi 2.2.1 Weseek Growi 2.2.3 Weseek Growi 2.2.4 Weseek Growi 2.3.0 Weseek Growi 2.3.1 Weseek Growi 2.3.2 Weseek Growi 2.3.3 Weseek Growi 2.3.4 Weseek Growi 2.3.5 Weseek Growi 2.3.6 Weseek Growi 2.3.7 Weseek Growi 2.3.8 Weseek Growi 2.3.9 Weseek Growi 2.4.0 Weseek Growi 2.4.1 Weseek Growi 2.4.2 Weseek Growi 2.4.3 Weseek Growi 2.4.4 Weseek Growi 3.0.2 Weseek Growi 3.0.3 Weseek Growi 3.0.4 Weseek Growi 3.0.5 Weseek Growi 3.0.6 Weseek Growi 3.0.7 Weseek Growi 3.0.8 Weseek Growi 3.0.9 Weseek Growi 3.0.10 Weseek Growi 3.0.11 Weseek Growi 3.0.12 Weseek Growi 3.0.13 Weseek Growi 3.1.0 Weseek Growi 3.1.1 Weseek Growi 3.1.2 Weseek Growi 3.1.4 Weseek Growi 3.1.5 Weseek Growi 3.1.6 Weseek Growi 3.1.7 Weseek Growi 3.1.8 Weseek Growi 3.1.9 Weseek Growi 3.1.10 Weseek Growi 3.1.11 Weseek Growi 3.1.12 Weseek Growi 3.1.13 Weseek Growi 3.1.14 Weseek Growi 3.2.0 Weseek Growi 3.2.1 Weseek Growi 3.2.2 Weseek Growi 3.2.3 Weseek Growi 3.2.4 Weseek Growi 3.2.5 Weseek Growi 3.2.6 Weseek Growi 3.2.7 Weseek Growi 3.2.8 Weseek Growi 3.2.9 Weseek Growi 3.2.10 Weseek Growi 3.3.0 Weseek Growi 3.3.1 Weseek Growi 3.3.2 Weseek Growi 3.3.3 Weseek Growi 3.3.4 Weseek Growi 3.3.5 Weseek Growi 3.3.6 Weseek Growi 3.3.7 Weseek Growi 3.3.8 Weseek Growi 3.3.9 Weseek Growi 3.3.10 Weseek Growi 3.4.0 Weseek Growi 3.4.1 Weseek Growi 3.4.2 Weseek Growi 3.4.3 Weseek Growi 3.4.4 Weseek Growi 3.4.5 Weseek Growi 3.4.6 Weseek Growi 3.4.7	144

Common Weakness Enumeration (CWE)

CWE-639 - Authorization Bypass Through User-Controlled Key

References

https://gist.github.com/polkaman/d039fb5236a043907e44efc198d9161c