Raphael Zanarelli

An authorization flaw allows authenticated users to retrieve information about data sources they are not permitted to access. The issue occurs because the '/unauth-datasource' and '/authed-datasource' endpoints do not properly enforce access controls, leading to the disclosure of sensitive connection details and passwords. This could enable unauthorized access to the underlying databases.

The '/datasources/unauth-datasource' endpoint fails to properly enforce authorization for data sources. An authenticated user can call this endpoint to retrieve information about data sources they are not permitted to access, potentially exposing sensitive metadata and data source configurations.

تفشل حزمة SDK الخاصة بالمهام (Task SDK) في إخفاء محتويات متغير ما عندما تكون قيمته بتنسيق JSON عبارة عن قائمة. ويحدث ذلك لأن عملية الإخفاء لا تُطبق إلا على القيم التي تم فك تسلسلها والتي تكون سلاسل نصية أو قواميس، مما يترك القوائم ذات المستوى الأعلى غير مخفية. ونتيجة لذلك، تُعرض الأسرار المخزنة بهذا التنسيق بنص عادي داخل سجلات المهام وواجهة المستخدم الخاصة بالقوالب المعروضة. ويمكن للمستخدم المصادق عليه الذي يمتلك أذونات لعرض سجلات المهام أو القوالب المعروضة استرداد هذه القيم دون الحاجة إلى أي تكوين خاص.