Alijonov Alisher

Um problema de Injeção de Comando de SO existe na rotina de geração de miniaturas de upload de mídia. A função `Media.generateThumbnail()` em `src/Server/Entity/Resource/Media.js` cria um caminho de arquivo temporário usando `Path.extname(filename)` e o passa sem escape para um comando de shell executado via `AppService.exec()`. Como o filtro de MIME-type em `getMIMEType()` (localizado em `src/Common/utilities.js`) trunca extensões no primeiro caractere '?', enquanto o `Path.extname()` não o faz, um usuário autenticado com escopo de recurso de mídia pode ignorar as verificações de tipo de imagem. Ao usar um nome de arquivo como `x.jpg?$(command)`, um invasor pode executar comandos de SO arbitrários no contexto do processo Node.js através do endpoint POST '/api/{project}/{environment}/media/new'.

O componente de implantação Git contém uma falha de Injeção de Comando de SO. A função `pullRepo()` em `src/Server/Entity/Deployer/GitDeployer.js` utiliza `AppService.exec()` para executar um comando de shell que interpola o valor do branch configurado sem a devida filtragem. Embora a função `validate()` rejeite aspas simples, ela não filtra outros metacaracteres de shell, como `;`, `&&`, `|`, crases e `$()`. Um invasor com permissões para configurar as definições do implantador Git pode especificar um valor de branch malicioso que executa comandos arbitrários automaticamente durante operações de implantação, como salvamento de conteúdo ou upload de mídia.

O recurso de gerenciamento de arquivos do administrador não restringe adequadamente o upload de arquivos perigosos. O sistema utiliza uma lista negra fixa em `data/inc/files.php` que verifica os últimos 4-5 caracteres de um nome de arquivo, mas omite a extensão `.php8`. Um administrador autenticado pode fazer o upload de um arquivo com a extensão `.php8`, que é armazenado sem modificações. Em servidores que executam PHP 8.x, o servidor web executa este arquivo como PHP, resultando em execução remota de código.

Existe uma falha de bypass de autorização na rota de download de anexos. A função `Download()`, localizada em `domain/attachment/endpoint.go`, aceita um parâmetro de consulta `secure`, mas apenas verifica se o parâmetro não está vazio, em vez de validá-lo em relação a um valor armazenado. Consequentemente, fornecer qualquer string não vazia no parâmetro `secure` permite que um invasor ignore a autenticação e baixe anexos de qualquer organização.