Piropatriot

ToolJet before 3.21.94, fixed in commit e5f387a, contains an authorization bypass vulnerability in the app environments init endpoint that allows authenticated users to read app version metadata belonging to other workspaces. Attackers can send GET requests to /api/app-environments/init with an editing version id from another workspace to retrieve the version name, description, status, current environment ID, and app ID, because the lookup is not scoped to the caller's organization.

An authorization bypass exists in the 'POST /api/v2/resources/export' endpoint. Authenticated users can disclose TooljetDB table schemas across workspace boundaries or export app definitions by bypassing granular permission gates. This is achieved by providing a specific `organization id` parameter in the request body to access schemas from other workspaces or to export restricted app definitions within their own workspace.

يمكن لأعضاء مساحة العمل المصادق عليهم تنفيذ عمليات غير مصرح بها على مخزن المستندات بسبب عدم وجود تفويض على نقاط نهاية التعديل. يمكن للمستخدمين الذين يتمتعون بأذونات على مستوى العرض إرسال طلبات HTTP مباشرة إلى مسارات تخزين المستندات «upsert» و«refresh». وهذا يتيح لهم تشغيل عملية استيعاب المستندات، وتحديث محتويات قاعدة بيانات المتجهات، واستهلاك أرصدة واجهة برمجة التطبيقات (API) للتضمين، وتعديل قواعد المعرفة التي تستخدمها تدفقات الدردشة اللاحقة.

توجد ثغرة أمنية من نوع «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) في تكامل OpenAI Assistants. تتيح هذه المشكلة للمهاجمين المصادق عليهم الوصول إلى بيانات الاعتماد الخاصة بمساحات عمل أخرى عن طريق تزويد نقاط نهاية Assistants بـ UUID تعسفي لبيانات الاعتماد، حيث يفشل النظام في التحقق من ملكية مساحة العمل. من خلال استغلال عدم وجود فحص للتفويض على نطاق مساحة العمل في منطق البحث عن بيانات الاعتماد، يمكن للمهاجمين حصر بيانات تعريف المساعد عبر مساحات العمل، واسترداد قوائم الملفات ومخازن المتجهات، وتحميل الملفات إلى مساحات عمل الضحايا.

توجد ثغرة تسمح بتجاوز المصادقة بسبب مطابقة القائمة البيضاء استنادًا إلى البادئة في برنامج الوسيط الخاص بالمصادقة الموجود في `packages/server/src/utils/constants.ts`. يمكن للمهاجمين غير المصادق عليهم إرسال طلب POST إلى نقطة النهاية «oauth2-credential refresh» مع معرّف بيانات اعتماد في نهاية الطلب لتجاوز عمليات التحقق من المصادقة والتفويض. وهذا يسمح بتدوير رمز OAuth غير المصرح به لبيانات الاعتماد في أي مساحة عمل، مما قد يؤدي إلى تعطيل عمليات تكامل OAuth التابعة.