Łukasz Rybak

Joomla Extension - joomlafry.com - Unauthenticated cross-record publication and mass assignment in TF Content 2.9.0 - 2.9.4 - The extension unconditionally authorizes both creation and editing in its public `RecordController`. Its shared frontend save controller accepts the raw `jform` array, assigns the request-selected existing record ID, and saves it without filtering submitted properties through the configured form. A Guest can obtain a valid token from Joomla's public login form and modify any TF Content row, including mass-assigning `published`, `access`, and `created by`.

A extensão expõe a tarefa do site `records.custom action` sem autenticação, Lista de Controle de Acesso (ACL), proteção contra Falsificação de Solicitação Cross-Site (CSRF), gatilho de tarefa, vinculação de conteúdo ou imposição de token de cron. Isso permite que um convidado não autenticado forneça o ID numérico de qualquer tarefa publicada do TF Content e force o componente a executar seu executor configurado imediatamente.

Um problema de execução remota de código (RCE) não autenticado existe no componente `com baforms`. O software permite que administradores definam código PHP que é executado após o envio de um formulário público, o qual suporta o uso de shortcodes de campos de formulário. O componente não sanitiza adequadamente esses shortcodes antes de passá-los para a função `eval()`, substituindo-os por valores brutos enviados pelo visitante. Isso permite que um invasor execute código arbitrário se um formulário público utilizar a ação opcional de PHP após o envio e interpolar um shortcode de campo controlado pelo invasor dentro de uma string PHP entre aspas duplas.

Um problema de Cross-Site Scripting (XSS) armazenado não autenticado existe no endpoint de upload de formulários públicos. Embora o endpoint valide as extensões de arquivo e os tipos MIME, ele armazena o nome de arquivo multipart original fornecido pelo usuário verbatim no campo `# baforms submissions attachments.name`. Um envio de formulário anônimo posterior pode associar esse anexo temporário a um novo envio. Quando um administrador visualiza o envio, o JavaScript do componente recupera o registro do anexo armazenado e concatena a variável `file.name` diretamente em uma string HTML, que é então atribuída ao `innerHTML`. XSS é uma técnica onde scripts maliciosos são injetados em sites confiáveis.

Um problema de path traversal não autenticado existe onde o componente aceita o estado do campo de upload como JSON controlado por convidados durante a submissão de formulários públicos. Se as opções de resposta automática e anexo de arquivos enviados estiverem habilitadas, o componente confia no `filename` fornecido para objetos com um `id` numérico e o concatena ao diretório de upload sem verificar a propriedade, sessão ou impor a contenção do caminho. Isso permite que um convidado envie um ID numérico inexistente e um nome de arquivo de travessia, como `../../../../configuration.php`, fazendo com que o sistema envie arquivos locais como anexos de e-mail para o endereço de e-mail enviado.

Um problema de execução remota de código (RCE) não autenticado existe porque o software processa blocos `{source}` encontrados no HTML final renderizado do Joomla sem determinar com confiabilidade a origem do código. Isso permite a execução de código arbitrário por meio de entrada de usuário refletida não verificada.

Usuários autenticados podem executar comandos de shell arbitrários com privilégios de root. Isso é possível ao fornecer um payload malicioso no campo "IP address" das ferramentas de teste de diagnóstico.

Um bypass de sandbox existe no recurso opcional Twig safe mode `CMS SAFE MODE`. Certos métodos no helper `collect()` não foram devidamente restringidos, permitindo que usuários autenticados com permissões de edição de template ignorem as proteções do sandbox. Este problema afeta apenas instalações onde o `CMS SAFE MODE` está habilitado, o qual vem desabilitado por padrão, e requer acesso autenticado ao backend com permissões de edição de template do CMS.

O Omega-PSIR está suscetível a uma vulnerabilidade de Cross-Site Scripting (XSS) Refletido. Um atacante pode criar uma URL maliciosa utilizando o parâmetro `lang`. Quando um usuário abre essa URL, isso pode levar à execução de código JavaScript arbitrário no navegador do usuário. O parâmetro vulnerável é `lang`. O endpoint da API afetado não é especificado.