Aeonframework

Existe um problema onde o endpoint "/api/external-link/task/:taskId" retorna o `integration.config` para qualquer membro do espaço de trabalho, incluindo aqueles com a função de visualizador, quando uma tarefa está vinculada a um problema ou pull request do Gitea. O `integration.config` é retornado em texto simples e contém o `accessToken` e o `webhookSecret` do Gitea. Isso permite que usuários não autorizados realizem ações do Gitea concedidas ao token e criem entregas de webhook forjadas que passam pela verificação HMAC (Hash-based Message Authentication Code), que é um mecanismo usado para verificar a integridade e a autenticidade de uma mensagem.

Em implantações de múltiplas organizações, um console que não está em modo auto-hospedado anexa a chave interna do servidor a solicitações que contenham um cabeçalho de Autorização antes de validar o bearer. Certas rotas exclusivas de serviço confiam nessa chave e extraem a identidade da organização diretamente da URL. Isso permite que um chamador remoto não autenticado use um bearer fabricado para reescrever a conexão de provedor de outra organização para um endpoint controlado por um invasor. Consequentemente, prompts subsequentes podem ser expostos e respostas controladas pelo invasor podem influenciar tarefas. Os endpoints de API afetados incluem 'PUT /v1/orgs/{org}/connections/{name}', 'PUT /v1/orgs/{org}/policy/{backend}' e todas as rotas em '/internal/*'.