Alexwaira

Duas famílias de endpoints falham ao verificar se os identificadores de recursos aninhados pertencem ao workspace e ao projeto especificados na URL. Um usuário autenticado pode ler ou modificar estimativas de outro workspace através do endpoint PATCH '/api/workspaces/{slug}/projects/{project id}/estimates/{estimate id}/', ou injetar comentários em um problema de outro workspace através do endpoint POST '/api/workspaces/{slug}/projects/{project id}/issues/{issue id}/comments/'. Embora a função `ProjectEntityPermission` verifique a participação no workspace e no projeto a partir da URL, as variáveis `estimate id` e `issue id` são recuperadas por chave primária sem confirmar o mesmo escopo.

Usuários autenticados com a função de Viewer ou superior podem realizar a injeção de SQL ao fornecer nomes de chaves de campo de telemetria especialmente manipulados. A aplicação falha ao escapar adequadamente esses nomes no endpoint de API 'v5 query range', permitindo que atacantes usem crases e aspas para romper identificadores e literais de string. Isso possibilita a execução de comandos SQL arbitrários do ClickHouse para acessar tabelas do sistema e exfiltrar dados.

Os gerenciadores de I/O do DuckDB, Snowflake, BigQuery e DeltaLake constroem cláusulas SQL WHERE interpolando valores de chaves de partição dinâmica em consultas sem a devida sanitização (escaping). Um usuário com a permissão `Add Dynamic Partitions` pode criar uma chave de partição que injeta SQL arbitrário, que será executado no backend do banco de dados de destino usando as credenciais do gerenciador de I/O. Este problema afeta apenas implantações que utilizam partições dinâmicas; pipelines que utilizam partições estáticas ou de janela de tempo não são impactados.

O Portainer inclui uma configuração de segurança para desativar montagens de bind (bind mounts) para não administradores, destinada a impedir que usuários comuns vinculem caminhos do host em contêineres via API do Docker mediada pelo Portainer. No entanto, o mecanismo de imposição inspecionava apenas a array `HostConfig.Binds` e ignorava a array equivalente `HostConfig.Mounts`. Como ambos os campos são intercambiáveis no daemon do Docker, um usuário autenticado com direitos de criação de contêineres pode burlar essa restrição enviando uma entrada do tipo `bind` em `HostConfig.Mounts` no endpoint 'POST /containers/create'. Isso permite que o usuário monte qualquer caminho do host em seu contêiner, potencialmente obtendo acesso de leitura ou gravação ao sistema de arquivos do host como o usuário do daemon do Docker (geralmente `root`). Isso pode levar à exposição de arquivos sensíveis, comprometimento de outros contêineres no mesmo host ou acesso total à API do Docker se o socket do Docker for montado.