Alibek Baxtiyarov

Um usuário autenticado com permissões de criação de faturas pode injetar payloads de HTML ou JavaScript no campo `terms` de uma fatura ou orçamento. Isso ocorre porque a aplicação renderiza esse campo no portal do cliente usando uma diretiva de saída bruta sem sanitização de HTML. O arquivo `StoreInvoiceRequest.php` apenas remove quebras de linha e não purifica o conteúdo HTML. Um invasor pode explorar isso utilizando o endpoint de API 'PUT /api/v1/invoices/{id}' para definir a variável `terms`, levando à execução de scripts no navegador do cliente, o que pode resultar no roubo de cookies de sessão e na tomada de controle da conta do cliente.

O Rules Engine permite que usuários autenticados criem regras contendo scripts Go ou Lua incorporados que são executados no servidor quando mensagens de IoT chegam. O mecanismo de script Go, localizado em `re/golang.go`, utiliza o interpretador Yaegi e expõe a biblioteca padrão completa do Go, incluindo `os` e `net/http`. A validação é limitada a um regex que bloqueia chamadas `panic()` e goroutines, deixando funções perigosas como `os.ReadFile()`, `os.WriteFile()`, `os.Remove()` e `os.Environ()` acessíveis. O mecanismo de script Lua, localizado em `re/lua.go`, não possui validação de entrada e pré-carrega bibliotecas que permitem acesso arbitrário ao banco de dados (`db`), E/S de arquivos (`ioutil`), Server-Side Request Forgery (SSRF) via um cliente HTTP e travessia de diretório (`filepath`). Consequentemente, um usuário autenticado de baixo privilégio pode realizar operações de leitura/escrita arbitrária de arquivos, vazar variáveis de ambiente, acessar o banco de dados e executar ataques de SSRF contra microsserviços internos.