Adam Młynarczyk

Administradores autenticados podem alcançar a execução arbitrária de código ao enviar um objeto PHP serializado como um valor de configuração. Isso ocorre porque o valor é armazenado sem sanitização e posteriormente processado pela função `getValueAttribute()`. Um invasor pode usar o formulário de configurações do administrador, como a configuração `maintenance message` carregada por `CheckMaintenance.php`, para enviar uma cadeia de gadgets serializada. Isso permite a execução de comandos arbitrários do sistema operacional como o usuário do processo da aplicação PHP, e o efeito persiste até que o valor seja sobrescrito.

Existe um problema na função `ThemeModule::startImport()` onde arquivos ZIP carregados são extraídos diretamente na raiz pública da web sem a validação de nomes de arquivos, extensões ou conteúdo. Um administrador autenticado pode explorar isso carregando um arquivo de tema manipulado contendo um arquivo PHP e um arquivo .htaccess para reativar a execução, permitindo a execução de comandos arbitrários do sistema operacional como o usuário do servidor web através do diretório de temas.

Administradores autenticados podem executar comandos arbitrários do sistema operacional como o usuário do servidor web ao abusar da funcionalidade de Importação/Exportação. Este recurso, projetado para portabilidade de dados, pode ser utilizado para implantar e executar código malicioso no host do servidor da aplicação.

Um problema de cross-site scripting existe no módulo de contatos. Atacantes remotos podem executar conteúdo de script arbitrário ao incorporar payloads maliciosos dentro de colchetes angulares no cabeçalho de e-mail FROM. Isso ocorre porque a lógica de sanitização remove apenas a primeira ocorrência de cada caractere de colchete angular, deixando os colchetes subsequentes intactos. Um atacante pode explorar isso enviando um e-mail manipulado que executa scripts no navegador da vítima quando o usuário abre a mensagem e utiliza a função Add Local Contacts.

Atacantes autenticados podem executar comandos arbitrários do sistema operacional por meio de uma injeção de objeto PHP. Isso ocorre quando um grafo de objeto PHP manipulado é fornecido através do parâmetro GET `back query` do manipulador de logout. A aplicação decodifica um payload serializado em base64 e o passa para a função `unserialize()` sem uma lista de permissões, verificação de assinatura ou restrição de tipo, permitindo a exploração de gadget-chain para alcançar a execução remota de código como o processo do servidor web.

Atacantes autenticados com permissões de criação ou edição de eventos podem realizar cross-site scripting ao inserir um título de evento malicioso contendo a sequência `</script>`. Isso ocorre porque a sequência não é escapada por `JSON.stringify()` quando incorporada em tags de script inline. Isso permite que o atacante saia do contexto do script dentro do bloco de dados estruturados `application/ld+json` ou do estado reidratado no lado do servidor, executando HTML e JavaScript arbitrários no navegador de qualquer usuário que visualize a página pública do evento, incluindo visitantes não autenticados e administradores.

A ausência de imposição de visibilidade no lado do servidor permite que atacantes não autenticados comprem ingressos ocultos. Ao referenciar IDs de produtos e preços ocultos em solicitações de criação de pedidos, os atacantes podem ignorar as verificações de autorização. Isso é possível através da enumeração de IDs de ingressos ocultos sequenciais com base em IDs visíveis para adquirir ingressos VIP, apenas para convidados ou com desconto que foram intencionalmente retirados da venda ao público.