Arpit Jain

Relatórios gerados por `plist-to-html`, `CodeChecker parse --export html` e `CodeChecker cmd diff --output html` estão suscetíveis a cross-site scripting. O software utiliza `json.dumps` para inserir a mensagem do relatório, o nome do verificador e o caminho do arquivo de origem em um bloco de script. Como o `json.dumps` não escapa o caractere menor que, uma tag de fechamento de script em qualquer um desses campos pode encerrar o elemento de script, permitindo que o conteúdo subsequente seja interpretado como HTML. Isso ocorre quando o relatório é publicado em um ambiente sem uma Política de Segurança de Conteúdo (CSP) restritiva, que é uma camada de segurança que ajuda a detectar e mitigar certos tipos de ataques, incluindo cross-site scripting.

Um invasor não autenticado pode causar exaustão de memória e travar o nó enviando um corpo de requisição excessivamente grande via streaming do cliente ou streaming bidirecional. O problema ocorre porque o caminho de leitura de streaming em `Elixir.GRPC.Server.Adapters.Cowboy.Handler`:info/3 não impõe o limite `max body size`, ao contrário do caminho de leitura unária. Especificamente, `Elixir.GRPC.Server.Adapters.Cowboy`:reading stream/1 anexa os chunks recebidos a um buffer até que uma mensagem completa com prefixo de comprimento seja formada. Ao declarar uma mensagem muito grande e enviá-la através de múltiplos frames DATA HTTP/2 pequenos, um invasor pode forçar o buffer a crescer sem limite, levando à exaustão de memória do BEAM e ao travamento completo do nó.

Existe um problema onde um código de verificação gerado para um fluxo de trabalho baseado em e-mail pode ser aceito por outro fluxo de trabalho sensível devido à aplicação inadequada da finalidade do código.

Uma falha de verificação de autorização no componente Vaadin Spreadsheet permite que um usuário autenticado adicione ou substitua comentários de células em uma planilha com proteção habilitada, incluindo células bloqueadas. Além disso, escrever um comentário em uma célula inexistente resultará na criação da linha e da célula.

Um usuário autenticado com permissões para criar Instâncias de Máquina Virtual (VMIs) pode causar uma Negação de Serviço (DoS) ao enviar uma definição de máquina virtual com um volume efêmero vazio. O componente `virt-controller` não valida adequadamente a configuração do volume, resultando em um nil-pointer dereference (uma tentativa de acessar um local de memória que não existe) e no travamento do aplicativo. Como a definição malformada persiste no cluster, o controlador entra em um loop de travamento contínuo, interrompendo as operações de ciclo de vida de máquinas virtuais em todo o ambiente.

Uma falha foi encontrada na API de valores de override do Ansible do plugin foreman ansible. A ação destroy resolve o registro LookupValue de destino por ID, mas não verifica se ele pertence a um AnsibleVariable que o chamador tem permissão para editar. Consequentemente, um usuário autenticado com a permissão `edit ansible variables` pode excluir qualquer LookupValue por ID, incluindo valores de override para variáveis Ansible fora do seu escopo de filtro de permissão e valores de override pertencentes a parâmetros de classe inteligente do Puppet.

A flaw was found in the foreman remote execution plugin's template invocations controller. The show template invocation by host action resolves the job invocation by ID without evaluating the caller's view job invocations permission filter against the record. An authenticated user whose job invocation visibility is restricted by a permission filter can enumerate job invocation IDs and read the live output, rendered script, and input values for other users' job invocations within their own organizations.

Uma falha foi encontrada na API de inventário Ansible do plugin foreman ansible. O controlador utiliza uma chamada `Host.where()` não escopada para construir consultas de host, a qual não aplica o filtro de pesquisa associado à permissão `view hosts` do chamador. Consequentemente, um usuário autenticado cuja visibilidade de host é restringida por um filtro de permissão pode fornecer IDs de host arbitrários dentro de sua organização e receber o inventário Ansible completo desses hosts, incluindo valores de parâmetros marcados como ocultos.

Os métodos de API REST de atualização e verificação de configuração do Connector não aplicam verificações de autorização em Assets e Secrets referenciados. Enquanto a autorização do framework é limitada a privilégios de escrita no Connector, um usuário autenticado com esses privilégios poderia aplicar valores de Secret de um Parameter Provider que ele não tem autorização para ler. Além disso, esses métodos aceitam identificadores de Asset sem verificar se o Asset pertence ao Connector que está sendo configurado. Este problema afeta instalações que implementam diferentes níveis de autorização entre Connectors e Parameter Providers.

Existe uma verificação inadequada de revogação de certificado onde as implementações TLS do OpenSSL e OpenSSL-FFM ignoram as Listas de Revogação de Certificados (CRLs)—listas de certificados digitais que foram revogados pela autoridade certificadora emissora antes da data de expiração programada—quando um certificado utiliza um keystore.

Existe um problema na coerção de escalar numérico para BigInteger que não valida adequadamente a magnitude de entradas de ponto flutuante ou string. Um invasor remoto não autenticado pode explorar isso enviando uma consulta GraphQL contendo um literal de ponto flutuante com um expoente grande. Isso leva à alocação de objetos BigInteger extremamente grandes, causando exaustão de CPU ou um OutOfMemoryError, resultando em negação de serviço.

Existe um problema onde o endpoint de revisão de template não aplica a autorização a nível de objeto ao recuperar uma revisão de template auditada. Um usuário autenticado com baixos privilégios e permissões relacionadas a templates, como `view ptables`, pode acessar conteúdos históricos de templates de outras organizações ou locais ao fornecer o ID de auditoria correspondente. Isso pode resultar na divulgação não autorizada de dados sensíveis, incluindo informações de configuração, credenciais ou segredos. Os endpoints de revisão da REST API não são afetados por este problema.

Aplicações Spring MVC que utilizam o framework web funcional estão suscetíveis à corrupção de stream ao implementar Server-Sent Events (SSE), um mecanismo que permite que servidores enviem atualizações em tempo real para páginas web através de uma única conexão HTTP.

Existe uma falha na consulta de remoção de tokens de acesso pessoal onde o sistema seleciona dados de `PersonalAccessTokenDB`, mas filtra com base em colunas de `Session` sem a realização de um join adequado. O SQLAlchemy interpreta isso como um cross join implícito, o que impede que o processo de exclusão seja restringido apenas aos tokens do usuário solicitante. Consequentemente, um usuário autenticado pode excluir todos os tokens de acesso pessoal de todo o sistema.

A visualização de detalhes do usuário da extensão não verifica se o registro de usuário solicitado corresponde ao alvo configurado ou logado. Isso permite que visitantes com acesso ao plugin Detail ou List recuperem dados de perfil de outros usuários do frontend, como nome, e-mail, data de nascimento e endereço, fornecendo um `user ID` arbitrário.

Ocorre cross-site scripting (XSS) refletido quando uma estratégia é configurada com `require interaction?` definido como true. O software exibe páginas HTML intermediárias que incorporam parâmetros de requisição diretamente em atributos de valor de entrada oculta sem a devida codificação HTML. Especificamente, o parâmetro `confirm` é interpolado em `lib/ash authentication/add ons/confirmation/confirmation form.html.eex` e o parâmetro de token de link mágico é interpolado em `lib/ash authentication/strategies/magic link/sign in form.html.eex`. Como esses templates utilizam expressões simples que não realizam a codificação e as funções `accept/2` em `AshAuthentication.AddOn.Confirmation.Plug` e `AshAuthentication.Strategy.MagicLink.Plug` não validam os valores, um invasor não autenticado pode criar uma URL para injetar marcações maliciosas. O script injetado é executado na origem da aplicação, permitindo o acesso a cookies, sessões e respostas de mesma origem.

Ocorre uma leitura excessiva (over-read) na função `copy string tags()` ao processar entradas EXIF ASCII com contagem zero. A função calcula o comprimento da tag como `entry->size - 1`; se `entry->size` for 0, o comprimento resultante de -1 é passado para `i tags add()`, o que dispara uma chamada `strlen()`. Isso faz com que o sistema examine além da entrada até que o próximo caractere NUL seja encontrado, potencialmente expondo bytes adjacentes do heap. Este caminho é acessível via `im decode exif()` ao usar imagens JPEG ou a distribuição Imager::File::WEBP. Um invasor pode explorar isso fornecendo uma imagem especialmente manipulada para `Imager->read()`, fazendo com que a tag `exif *` contenha dados sensíveis do heap em vez de uma string vazia.

A funcionalidade de Importação/Exportação de Dados não neutraliza adequadamente elementos especiais, o que permite que um invasor remoto execute comandos arbitrários do sistema operacional no servidor.