Arkmarta

Existe um problema onde o endpoint `view/queue.php` utiliza a função `pathinfo` na variável `fileURI` controlada pelo usuário e armazena o nome do arquivo resultante através de `setTitle` em `encoder queue.title` sem a neutralização adequada. Como `fileURI` não está nas listas de filtro de `objects/security.php`, e a capacidade `Login::canUpload()` pode ser concedida autonomamente via um site de login controlado pelo invasor, um atacante pode enviar uma entrada de fila com um título HTML malicioso. Este título é posteriormente carregado por `view/index.php` a partir de `view/queue.json.php` em uma tabela jQuery Bootgrid, onde o formatador de título concatena `row.title` em HTML bruto da célula. Isso permite a execução de um manipulador de eventos no navegador de um visualizador privilegiado, como um administrador ou um operador no streamer do invasor. O script resultante pode acessar dados visíveis da sessão e credenciais de streamer renderizadas, agindo com os privilégios do visualizador.

Um invasor remoto não autenticado pode ler respostas HTTP e HTTPS internas, incluindo credenciais de metadados de instâncias de nuvem, e acessar serviços TCP internos. O problema ocorre porque a função `url get contents` em `objects/functions.php` aceita destinos controlados pelo chamador após apenas validação de sintaxe, sem rejeitar endereços privados, de loopback ou link-local, e desativa a verificação de pares TLS. O endpoint não autenticado 'objects/login.json.php' retorna um objeto de sessão contendo o corpo bruto recuperado, permitindo a exfiltração completa da resposta através de um `siteURL` fornecido. Além disso, uma variante de pré-autenticação em 'view/youtubeDl.json.php' roteia um `videoURL` ftp para o `FTPDownloader`, onde a função `parseFtpUrl` em `objects/FTPDownloader.php` aceita o host e a porta para `ftp connect`, permitindo requisições a serviços FTP internos. Certificados HTTPS autoassinados não confiáveis também são aceitos.

A interface de login anônima reflete valores de requisição em HTML e JavaScript sem a codificação de saída adequada. Em `view/index.php`, a variável `webSiteRootURL` é retornada literalmente pela função `Streamer::getStreamerURL()` em `objects/Streamer.php`, afetando atributos de navegação e formulários, e é inserida em uma string JavaScript entre aspas simples em `view/index.header.php`. Os campos `user` e `pass` são filtrados apenas para aspas simples, permitindo que aspas duplas e colchetes angulares quebrem os atributos HTML. Além disso, `view/index.header.php` reflete campos POST usando `json encode` sem `JSON HEX TAG`, permitindo que uma tag de fechamento de script escape. Adicionalmente, `locale/function.php` armazena o valor POST `lang` na sessão, que é então refletido sem escape em `view/index.php`. Um invasor remoto não autenticado pode usar um link de login manipulado para executar JavaScript arbitrário, potencialmente roubando identificadores de sessão do operador e credenciais de login para realizar ações não autorizadas.

Um endpoint de instalação não autenticado `install/checkConfiguration.php` não escapa parâmetros de requisição, como `webSiteRootURL`, ao interpolá-los em literais de string PHP entre aspas simples para criar o arquivo `videos/configuration.php`. Isso permite que um invasor injete código PHP que é executado como o usuário do servidor web quando o arquivo gerado é acessado. Isso é possível se o arquivo `videos/configuration.php` estiver ausente, o que ocorre em implantações novas ou após a remoção do arquivo. O invasor pode controlar o `systemRootPath` para gravar arquivos, ler ou sobrescrever arquivos pertencentes ao usuário do servidor web e estabelecer código PHP persistente. Além disso, o endpoint interpola valores de requisição em instruções INSERT de streamer e configuração, resultando em um sumidouro secundário de injeção de SQL.

Um invasor remoto não autenticado pode executar comandos do sistema operacional como o usuário do servidor web. O problema reside no endpoint de streaming ao vivo `view/videosListToLive.php`, que aceita um streamer definido pelo invasor no parâmetro `webSiteRootURL`. O sistema chama a função `Login::run()` em `objects/Login.php` e confia no JSON retornado como estado da sessão, permitindo que um invasor conceda a si mesmo privilégios de `isLogged` e `canStream` sem credenciais legítimas. Este processo ignora a verificação `Streamer::isURLAllowed()` e a lista de permissões de streamers do operador. Além disso, o endpoint aceita os valores `playlists id` e `APISecret`, onde o `APISecret` é encaminhado sem ser verificado em relação a um segredo armazenado. A aplicação então busca uma segunda resposta de lista de vídeos controlada pelo invasor e interpola `videos[].path` em comandos `ffprobe` e `ffmpeg` passados para `exec` sem a devida filtragem de argumentos de shell. A função `isAudio()` chama `isVideo()` para acionar o comando `ffprobe`. Ao utilizar delimitadores de shell nos caminhos, um invasor pode executar comandos arbitrários, potencialmente expondo credenciais do banco de dados e de streamers, modificando arquivos, estabelecendo persistência ou causando a negação de serviço do codificador.

Um processo de login de streamer não autenticado permite a injeção de SQL. O endpoint `objects/login.json.php` passa o parâmetro `user` para a função `Streamer::get()` em `objects/Streamer.php`, que é então interpolado em uma consulta MariaDB SELECT sem a devida parametrização ou escape. Embora as aspas simples literais sejam removidas, a função `html entity decode` em `objects/Login.php` restaura as aspas codificadas como entidades antes da execução da consulta. Um invasor pode usar isso para ler dados arbitrários do banco de dados do codificador, como credenciais de streamer upstream armazenadas, configurações de lista de permissões e registros de fila. O impacto é limitado à leitura de dados porque instruções empilhadas não são permitidas pelo driver mysqli e a conta do banco de dados carece de privilégios globais de FILE.

O codificador carece de uma camada de autenticação global, expondo vários endpoints PHP a chamadores de rede anônimos. O endpoint 'view/run.php' invoca a função `Encoder::run()`. O endpoint 'view/queue.json.php' chama `Encoder::getAll(true)`, revela URLs de streaming via `getSiteURL()` e aciona o processamento através de `execRun()`. O endpoint 'view/status.php' retorna um cabeçalho Access-Control-Allow-Origin com curinga, lê a fila, aciona o processamento e expõe estatísticas de memória do host através de `ServerMonitor::getMemory()` quando `serverStatus` está ativado. Além disso, o endpoint 'view/listFiles.json.php' permite acesso anônimo quando `disableBulkEncode` está vazio, utilizando o parâmetro `path` com `realpath()` e `scandir()` sem restrições de diretório base. Isso permite que um invasor não autenticado controle o processador de fila privilegiado, acesse informações da fila e do site de streaming, obtenha estatísticas de memória e enumere nomes e caminhos de arquivos de mídia em diretórios legíveis pelo usuário do servidor web, limitando-se às extensões de mídia configuradas.

O pipeline de release @nx/docker constrói invocações de docker tag, busca de imagem e docker push como strings de comando de shell. Os valores de configuração `release.docker.repositoryName` e `registryUrl` são interpolados nessas strings e passados para /bin/sh -c. Isso permite que a sintaxe de shell em configurações do Nx não confiáveis seja executada durante as operações nx release version ou nx release publish. Consequentemente, um pull request ou alteração na configuração do repositório pode executar comandos com os privilégios do job de release, expondo potencialmente credenciais de registro ou tokens de nuvem. A publicação em modo dry-run não impede a execução do comando de pré-verificação vulnerável.

O planejamento de migração do Nx não valida se o valor `nx-migrations.migrations` lido do manifesto de um pacote de destino é um caminho relativo contido. Uma dependência direta maliciosa ou um pacote introduzido através do `packageGroup` de um pacote confiável pode fornecer caminhos absolutos ou segmentos `..`. Isso permite que o processo `nx migrate` escreva bytes controlados por um invasor fora do diretório temporário pretendido ou trunque arquivos graváveis existentes. Este problema ocorre durante o planejamento da migração, antes da revisão da lista de migrações ou do uso da flag `--run-migrations`. A vulnerabilidade é acionada quando a transferência padrão `nx@latest` é ignorada usando `NX USE LOCAL`, `NX MIGRATE USE LOCAL`, `NX MIGRATE CLI VERSION`, `--run-id`, ou após uma falha de instalação temporária.

No plugin de Upload, os endpoints da Content API não aplicavam as restrições de tipo MIME configuradas pelo administrador em `plugin.upload.security.allowedTypes` e `deniedTypes`. Embora essas restrições estivessem ativas para o Painel de Administração, a verificação de segurança `enforceUploadSecurity` estava ausente no controlador da Content API. Consequentemente, os manipuladores `uploadFiles` e `replaceFile`, bem como o wrapper `upload`, ignoravam a detecção de MIME e as listas de permissão/bloqueio. Um usuário autenticado com permissões de upload na Content API poderia enviar tipos de arquivos não permitidos, como HTML e SVG. Se os arquivos enviados forem servidos na mesma origem que o painel de administração, um invasor poderia enviar um arquivo HTML ou SVG malicioso. Quando aberto por um administrador, esse arquivo poderia executar JavaScript na origem do administrador, permitindo potencialmente o sequestro de sessão administrativa e ações administrativas não autorizadas via API de administração.

Name of the Vulnerable Software and Affected Versions Payload versões anteriores a 3.79.1 Description Payload, um sistema de gerenciamento de conteúdo sem interface gráfica, possuía validação de entrada insuficiente em certas requisições. Isso permitia que invasores manipulassem a execução de consultas SQL, potencialmente levando à exposição ou modificação de dados em coleções. Recommendations Atualize para a versão 3.79.1 ou posterior.

AVideo is a video-sharing platform. Versions prior to 8.0 contain a SQL Injection issue in the `getSqlFromPost()` method of Object.php. The `$ POST['sort']` array keys are used directly as SQL column identifiers within an ORDER BY clause. While `real escape string()` was applied, it only escapes string-context characters and does not protect SQL identifiers, rendering it ineffective. The issue stems from the direct use of unsanitized input in constructing a SQL query. The `sort` parameter within the `$ POST` request is particularly vulnerable.

AVideo é uma plataforma de compartilhamento de vídeos suscetível a Execução Remota de Código sem Autenticação (RCE). Um atacante pode injetar substituição de comando de shell no parâmetro GET `base64Url`, possivelmente levando ao comprometimento completo do servidor, exfiltração de dados e interrupção do serviço. O problema reside na manipulação inadequada da entrada fornecida pelo usuário em comandos de shell, especificamente nos arquivos `objects/getImage.php` e `objects/security.php`, utilizando funções como `shell exec` e `nohup`. A causa raiz é a falta de escape adequado de shell ao decodificar e interpolar o parâmetro `base64Url` em comandos de shell. A validação `FILTER VALIDATE URL` não impede que metacaracteres de shell sejam interpretados pelo shell.

O AVideo é uma plataforma de vídeo de código aberto. Uma vulnerabilidade de Execução Remota de Código (RCE) foi identificada na funcionalidade de upload/importação de plugins. Um administrador autenticado poderia fazer o upload de um arquivo ZIP especialmente elaborado contendo arquivos executáveis do lado do servidor. A validação insuficiente do conteúdo dos arquivos extraídos permitiu que o arquivo fosse extraído diretamente em um diretório de plugins acessível pela web, possibilitando a execução arbitrária de código PHP. O problema permite o comprometimento completo do sistema, incluindo impactos em confidencialidade, integridade e disponibilidade. O sistema validava apenas a extensão ZIP dos pacotes de plugins carregados, mas não impunha uma lista de permissões rigorosa de tipos de arquivo dentro do arquivo. Os arquivos extraídos eram colocados diretamente em um diretório acessível pela web, sem impedir a execução de scripts do lado do servidor.

O Canarytoken PWA do Canarytokens apresenta um problema de Cross-Site Scripting (XSS) próprio. O criador de um Canarytoken pode executar código Javascript ao inseri-lo no campo de título de seu token PWA. Isso permite que o criador ataque a si mesmo ou a qualquer pessoa com quem compartilhe o link. Quando uma vítima clica no link de instalação, o código Javascript é executado. No entanto, nenhuma informação sensível é divulgada a um agente malicioso.

O AVideo é uma plataforma de vídeo de código aberto. O endpoint da API `aVideoEncoder.json.php` aceita um parâmetro `downloadURL` e busca o recurso referenciado no lado do servidor sem validação adequada ou uma lista de permissões (allow-list). Isso permite que usuários autenticados acionem solicitações no lado do servidor para URLs arbitrárias, incluindo endpoints de rede interna, levando à Falsificação de Solicitação no Lado do Servidor (SSRF). Um atacante autenticado pode aproveitar o SSRF para interagir com serviços internos e recuperar dados sensíveis, potencialmente levando a um comprometimento adicional. O parâmetro vulnerável é `downloadURL`.

O AVideo permite Markdown nos comentários de vídeos e utiliza o Parsedown (v1.7.4) sem o Modo Seguro ativado. Os links em Markdown não são sanitizados adequadamente, permitindo que URIs `javascript:` sejam renderizados como links clicáveis. Um invasor autenticado com baixo privilégio pode postar um comentário malicioso que injeta JavaScript persistente. Quando outro usuário clica no link, o invasor pode executar ações como sequestro de sessão, elevação de privilégio (incluindo a tomada de controle de administrador) e exfiltração de dados. O problema é um Cross-Site Scripting Armazenado (XSS), conforme definido pela CWE-79.

O CVAT é uma ferramenta interativa de anotação de vídeo e imagem para visão computacional. Um atacante pode executar JavaScript arbitrário na sessão da interface do usuário do CVAT de um usuário vítima. Isso é possível mediante a criação de um rótulo maliciosamente elaborado em uma tarefa ou projeto do CVAT e, em seguida, levando o usuário vítima a editar esse rótulo ou visualizar uma forma que faça referência a ele. Alternativamente, o atacante pode levar o usuário vítima a enviar uma imagem SVG maliciosamente elaborada ao configurar um esqueleto. Uma exploração bem-sucedida concede ao atacante acesso temporário a todos os recursos do CVAT acessíveis ao usuário vítima.

Nome do Software Vulnerável e Versões Afetadas Versões do CVAT de 1.0.0 a 2.54.0 Descrição O CVAT é uma ferramenta interativa de anotação de vídeo e imagem de código aberto para visão computacional. Usuários com status de staff podem modificar suas permissões, incluindo conceder a si mesmos o status de superusuário e ingressar no grupo de administradores, o que concede acesso total aos dados dentro da instância do CVAT. Recomendações Versões anteriores a 2.55.0 devem ser atualizadas. Revise a lista de usuários com status de staff e revogue esse status de quaisquer usuários que não devam ter privilégios de superusuário como medida temporária.