Aramosf

Existe um problema em um endpoint de criação de registros que aceita o tipo de registro da requisição e insere o registro com as verificações de permissão desativadas. Isso permite que qualquer usuário autenticado, independentemente de sua função operacional, especifique um tipo de registro privilegiado para criar contas privilegiadas e assumir o controle total do site.

Existe uma falha de bypass de autenticação na API de registro do console. Atacantes não autenticados podem atualizar ativos de console existentes fornecendo um identificador de ativo conhecido. Isso permite a sobrescrita de tokens de notificação push e metadados do console sem a validação de propriedade, o que pode levar ao redirecionamento de notificações ou à negação de entrega para consoles legítimos.

A API `datapoint export` constrói SQL para CSV crosstab concatenando um `asset name` e um `attribute name` em uma consulta `COPY`. Como a neutralização de aspas simples não protege identificadores entre aspas duplas ou o limite de citação de dólar `$cat$`, um usuário autenticado com permissões para criar ou renomear ativos e exportar pontos de dados pode injetar metacaracteres SQL no nome. Isso permite que o usuário execute instruções SELECT injetadas e receba a saída na resposta ZIP/CSV, possibilitando a exfiltração do banco de dados. Em ambientes multi-tenant, isso pode expor dados de outros locatários se a função de banco de dados do gerente tiver acesso a tabelas compartilhadas.

Um usuário autenticado com permissões para criar ou renomear ativos pode realizar uma injeção de SQL. O problema ocorre no endpoint de exportação de crosstab de datapoint, que constrói consultas PostgreSQL concatenando nomes de exibição de ativos diretamente em SQL bruto. Ao manipular o parâmetro `asset name`, um invasor pode executar comandos SQL arbitrários e exfiltrar informações do banco de dados por meio da resposta CSV exportada.