hackerone-mavenlink-2019-02-l-300179
User uploaded portfolio files can be accessed by any user even after deleted
user1로 로그인하여 포트폴리오를 생성하고 파일을 첨부한다. 그리고 다시 첨부했던 파일을 받으면 https://app.mavenlink.com/attachments/xxxxxxxx 와 같은 URL로 향한다. (xxxxxxxx는 파일 ID이다.) 이 링크에는 다른 계정으로 로그인하여 접근할 수 있었다. 원래는 동일한 팀이나 그룹만 접근할 수 있다.
이 상태에서 user1 계정으로 다시 파일/포트폴리오를 삭제해도 여전히 접근할 수 있었다.
tags: bughunting, wstg-athz-04, idor, severity low, web hacking