Enno Gelhaus

يفشل Postiz في التحقق مما إذا كانت مسارات الوسائط التي ليست على شكل عناوين ويب موجودة داخل دليل التحميل المخصص. يسمح هذا للمستخدم المسجل بتوفير مسار وسائط مصمم خصيصاً يمكن من خلاله لعامل النشر قراءة ملفات عشوائية من قرص الخادم وإرسالها كمرفقات إلى خادم Discord خارجي. بالإضافة إلى ذلك، هناك مساران آخران يسمحان بعمليات قراءة غير مقيدة مماثلة: أحدهما يؤكد وجود الملف ويمكن أن يؤدي إلى استنفاد ذاكرة النظام الخلفي، والآخر يقوم بتسليم الملف. وبما أن التسجيل الذاتي متاح افتراضياً، يمكن للمهاجم إنشاء حساب لاستغلال هذه الثغرات.

يقوم Postiz بتوقيع رموز الجلسة والدعوة وإعادة تعيين كلمة المرور باستخدام سر مشترك واحد وبدون أي علامة تميز الغرض من الرمز. تقوم مسار (route) مخصص لتحديث بيانات اعتماد قناة ملحق المتصفح بتوقيع البيانات الواردة في الطلب وتخزين النتيجة حيث يمكن للمستخدم الطالب قراءتها. يتيح ذلك للمستخدم الحصول على رمز موقع بشكل صحيح يحتوي على أي ادعاءات يختارها، والتي يقبلها التطبيق كرمز جلسة، أو دعوة منظمة بدور مختار، أو إعادة تعيين كلمة مرور، أو رمز تزويد مؤسسي. بالإضافة إلى ذلك، يقوم مسار ثانٍ وأضيق مخصص لإنشاء دعوات الفريق بتوقيع حقول إضافية من جسم الطلب بنفس الطريقة.

يسمح Postiz للمستخدمين المسجلين بطلب تنفيذ وظائف من الواجهة الخلفية على القنوات المتصلة دون تقييد الوظائف التي يمكن استدعاؤها. يتيح ذلك للمستخدمين تشغيل وظائف مساعدة داخلية لم تكن مخصصة للوصول إليها عبر واجهة الويب. تسمح إحدى هذه الوظائف بقراءة ملفات عشوائية من قرص الخادم إذا تم توصيل قناة باستخدام مسار ملف كرمز مميز، مما قد يؤدي إلى كشف متغيرات البيئة، وأسرار توقيع جلسات تسجيل الدخول، وعناوين قاعدة البيانات، وبيانات اعتماد الخدمات المتصلة. بالإضافة إلى ذلك، يمكن استخدام وظيفة مساعدة أخرى لإجبار عملية الواجهة الخلفية على الخروج، مما يؤدي إلى تعطل الخدمة. وبما أن التسجيل الذاتي متاح افتراضيًا، يمكن لأي مستخدم مسجل حديثًا القيام بهذه الإجراءات.

تقوم عدة نقاط نهاية بإرجاع صفوف كاملة من قاعدة البيانات بدلاً من الحقول المحددة المطلوبة، مما يؤدي إلى كشف أسرار حساسة. تقوم نقطة نهاية حذف القناة بإرجاع صف التكامل المحذوف، والذي يتضمن رمز الوصول إلى المنصة ورمز التحديث، مما يسمح لتطبيق OAuth خارجي بالحصول على بيانات اعتماد منصات التواصل الاجتماعي. بالإضافة إلى ذلك، تقوم نقطة النهاية `GET /user/organizations` بإرجاع صف المؤسسة بما في ذلك مفتاح واجهة برمجة التطبيقات (API key) لجميع الأعضاء، مما يمكن المستخدمين ذوي الأدوار الأدنى من الحصول على المفتاح المخصص للمسؤولين واستدعاء واجهة برمجة التطبيقات العامة نيابة عن المؤسسة. يتطلب الوصول إلى هذه النقاط وجود جلسة صالحة أو مفتاح API أو رمز OAuth، ويقتصر على مؤسسة المستخدم نفسه.

Postiz uses `Math.random()` instead of a cryptographically secure source to generate security-sensitive credentials. This affects OAuth access tokens, authorization codes, client secrets, organization API keys, and PKCE verifiers, which rely on the deterministic xorshift128+ PRNG (Pseudo-Random Number Generator) state of the V8 engine. An unauthenticated attacker can use a dynamic client registration endpoint to obtain consecutive PRNG outputs and reconstruct the internal state. This allows the attacker to deterministically derive past and future values, potentially compromising credentials of other users and organizations.

An HTTP endpoint used for provisioning enterprise and reseller organisations is accessible without a session because the authentication middleware does not include the enterprise controller in its list of protected controllers. The endpoint only verifies that the request body contains a token signed with the instance secret but fails to validate the token's purpose, audience, or expiry. Consequently, a standard user session token can be used to bypass authentication. Successful exploitation allows an attacker to create a new organisation with the highest subscription tier, a lifetime flag, and an excessive channel allowance, while also creating an organisation-owner account and obtaining a valid API key for the public API.

يمكن لمهاجم عن بُعد غير مصدَّق الهوية قراءة ملف تعسفي من خلال استغلال ثغرة تتعلق باجتياز المسار في المسار الذي يقدم الوسائط المخزنة محليًّا. يقوم التطبيق بضم أجزاء المسار الواردة في عنوان URL إلى دليل التحميل، ويقوم ببث الملف دون توحيد المسار أو حصره في الدليل. بينما يتم طي أجزاء النقطة الخام قبل التوجيه، فإن الفواصل المشفرة في عنوان URL تبقى سليمة بعد مطابقة المسار ويتم فك تشفيرها عند المعالج، مما يتيح اجتياز المسار أثناء استدعاء نظام الملفات. وهذا يسمح بالوصول إلى أي ملف يمكن لعملية التطبيق قراءته، بما في ذلك بيئة العملية، التي تكشف عن سلسلة اتصال قاعدة البيانات، وأسرار المزود المتصل وأسرار الفوترة، وسر توقيع JWT (JSON Web Token). ونظرًا لأن رموز الجلسة يتم توقيعها باستخدام هذا السر ولا تحتوي على تاريخ انتهاء صلاحية، يمكن للمهاجم تزوير جلسة لا تنتهي صلاحيتها لأي مستخدم، بما في ذلك المسؤولون، دون الحاجة إلى كلمة مرور. نقطة النهاية المتأثرة هي ’/uploads‘.

يسمح ثغرة في النظام الفرعي للفوترة وتفعيل التراخيص للمهاجمين عن بُعد وغير المصادق عليهم بتجاوز إجراءات الموافقة على الدفع. تنبع المشكلة من عدم كفاية التحقق التشفيري أو عدم وجود تحقق من حالة الخادم فيما يتعلق برموز الاسترداد الترويجية ورموز الصفقات مدى الحياة (LTD). وهذا يسمح للمهاجمين بتزوير رموز استرداد صالحة أو إعادة استخدام الرموز التي تُستخدم مرة واحدة لتفعيل الاشتراكات المدفوعة من أعلى فئة دون إتمام معاملة مالية.