Arpitjain099

No JRuby, a opção de análise `NONET` não bloqueia DTDs ou entidades externas quando o identificador do sistema usa um host IPv4 de forma abreviada (ex: `http://127.1/`) ou um caminho absoluto (ex: `/x.dtd`) resolvido em relação a uma URL de rede. Quando uma aplicação analisa XML não confiável usando `DTDLOAD`, `DTDVALID` ou `NOENT`, o resolvedor pode tratar esses identificadores como locais e iniciar uma requisição de rede, potencialmente permitindo server-side request forgery (SSRF), que é uma técnica usada para induzir um servidor a fazer requisições para um local não pretendido.

Uma falha de autorização existe na implementação FHIR onde certas rotas de leitura ignoram as verificações de Lista de Controle de Acesso (ACL). Isso permite que usuários com tokens de API de não-pacientes que carecem de ACLs do OpenEMR solicitem recursos usando um `uuid`, ignorando a filtragem de compartimentos. Consequentemente, um invasor pode ler documentos e respostas de questionários de qualquer paciente através dos endpoints '/FHIR Media/:uuid' e '/QuestionnaireResponse'.

Ocorre uma referência direta insegura a objetos em múltiplos endpoints de visualização e salvamento de formulários de encontro devido à falta de verificação de propriedade do paciente ou do encontro. Usuários clínicos autenticados podem enumerar valores sequenciais de ID de formulário em requisições para os endpoints 'soap/view.php' e 'save.php' para ler e sobrescrever registros clínicos de outros pacientes.

Um problema de SQL injection existe na busca de inventário de medicamentos da Planilha de Taxas (Fee Sheet) dentro da função `sellDrug()` da classe `DrugSalesService`. A falha ocorre quando o campo POST `prod[N][warehouse]` é interpolado em uma cláusula ORDER BY. Usuários autenticados com baixos privilégios podem explorar isso enviando linhas de produtos da Planilha de Taxas contendo subconsultas constantes para executar um oráculo cego baseado em tempo, permitindo a extração de dados de pacientes e hashes bcrypt de `users secure`.

O decodificador de vinculação HTTP-Redirect descompacta mensagens SAML fornecidas por um invasor sem limitar o tamanho da saída antes da validação da assinatura. Isso permite que um invasor remoto não autenticado esgote a memória do servidor, resultando em uma negação de serviço.

A função `Untar` em `pkg/archive/archive.go` valida alvos de symlink tar absolutos após rebaseá-los abaixo de um destino, mas cria o symlink usando o `Linkname` absoluto bruto. Isso permite que um arquivo compactado malicioso plante um symlink absoluto no host e use uma entrada de arquivo regular subsequente para gravar arquivos fora do diretório de extração. Este problema é acessível por meio da recuperação remota de complementos e importações de banco de dados ou arquivos. A sobrescrita de arquivos de inicialização do shell, hooks do Git ou entradas do cron pode resultar na execução de código no contexto do usuário DDEV.

O `DataSourcePolicy` não resolve links simbólicos ao verificar a contenção de nomes de arquivos. Isso permite que um plano de controle xDS comprometido ou semi-confiável force o cliente xDS a ler arquivos localizados fora dos diretórios raiz permitidos configurados, caso um link simbólico dentro de um diretório permitido aponte para um local externo. Em implantações que utilizam um injetor de credenciais, segredos de texto compatíveis com cabeçalhos podem ser expostos a um upstream observável por um invasor.

A operação `dagu read` com o alvo `dag spec` invoca a API de especificação DAG diretamente, ignorando o middleware HTTP. Como o resolver subjacente não restringe os caminhos resolvidos aos diretórios DAG configurados, um invasor autenticado com uma chave de API de função de visualizador pode usar caminhos absolutos ou de travessia para ler arquivos `.yaml` ou `.yml` fora dos diretórios pretendidos que sejam acessíveis ao processo Dagu. Este problema permite a leitura não autorizada de arquivos, mas não fornece capacidades de escrita ou execução.

Existe uma falha de bypass de autenticação na função `matchCertificateData`. Este problema ocorre quando um certificado de assinatura não possui um Subject Alternative Name (SAN), fazendo com que o sistema ignore as verificações de subject e `subjectRegExp` do `verifyImages`. Um invasor que possua um certificado folha de uma raiz de confiança privada configurada pode omitir o SAN e definir o OID do emissor Fulcio esperado para assinar imagens maliciosas, que são então admitidas apesar do pinning do assinante.

O cliente TLS nesta implementação nativa de Transport Layer Security em JavaScript verifica incorretamente a propriedade usada para determinar se um certificado de servidor está ausente. Ao utilizar `forge.tls.createConnection()`, `c.session.serverCertificate` e a troca de chaves RSA, um servidor TLS malicioso ou um peer no caminho pode omitir a mensagem de Certificado. Isso leva à desreferenciação do certificado ausente, resultando em uma exceção não capturada que encerra a conexão ou o processo.

O método `RegistryClient.signIn()` em `packages/oci/src/registry.ts` armazena cabeçalhos de Autorização do registro e configurações do Docker como padrões em um cliente HTTP compartilhado. Simultaneamente, a função `RegistryClient.uploadBlob()` envia uma requisição PUT para um local absoluto de upload de blob fornecido pelo registro sem verificar se a origem ou o esquema correspondem ao registro. Consequentemente, um registro comprometido pode redirecionar um usuário que esteja enviando um artefato via `attachArtifactToImage()` para um host controlado por um invasor, resultando no vazamento de tokens de portador do registro, credenciais Basic ou cabeçalhos de autenticação personalizados. Isso ocorre porque o PUT cross-host é tratado como uma nova requisição explícita, ignorando a remoção de cabeçalhos durante o redirecionamento.

Forge (também conhecido como node-forge) é uma implementação nativa de Transport Layer Security em JavaScript. A função `asn1.fromDer()` não aplica consistentemente o limite `maxDepth` ao decodificar dados ASN.1 armazenados em valores BIT STRING, retendo cópias recursivamente em cada nível de aninhamento. Um invasor pode fornecer um DER (Distinguished Encoding Rules) especialmente criado contendo BIT STRINGs aninhados para causar recursão excessiva, alto uso de CPU e consumo quadrático de memória.

O pyLoad não invalida as sessões Flask ativas quando um administrador altera a senha ou as permissões de um usuário. Isso ocorre porque o sistema utiliza valores de função e permissão copiados para a sessão durante o login através da função `set session()` em `webui/app/helpers.py`, em vez de verificá-los no banco de dados a cada requisição. Consequentemente, um usuário pode manter privilégios revogados ou continuar utilizando uma sessão estabelecida com uma senha antiga durante o tempo de vida da sessão, que por padrão é de 44640 minutos. Este problema é acionado ao utilizar os seguintes endpoints de API: - '/api/set user permission' - '/api/change password' A autenticação via chaves de API não é afetada, pois recupera os dados do usuário diretamente do banco de dados em cada requisição.

Existe um problema de divulgação de informações no qual as mensagens de erro de validação do GraphQL revelam nomes de classes ocultas, mesmo quando a introspecção pública está desativada. Atacantes não autenticados que possuam o Application Id público podem enviar operações manipuladas para disparar erros de argumento desconhecido ou valor de enumeração inválido, permitindo a descoberta de classes de destino de ponteiros e relações.

Existe um problema onde o RPC (Chamada de Procedimento Remoto) `get-page` aceita um objeto de permissão de link de compartilhamento que fornece acesso de leitura amplo, mas não verifica se o `page-id` solicitado está entre as páginas autorizadas pelo link. Um invasor autenticado que possua um link de compartilhamento válido pode recuperar os dados completos de forma e design de outras páginas no mesmo arquivo, caso o identificador da página seja conhecido. Além disso, o RPC `get-file-fragment` permite o acesso via link de compartilhamento sem mapear corretamente os fragmentos para as páginas autorizadas.

A aplicação do PKCE do Provedor OAuth2 ocorre apenas em solicitações de autorização onde o `response type` é exatamente code. Consequentemente, códigos emitidos através de fluxos híbridos do OpenID Connect (como `code token`, `code id token` ou `code token id token`) não possuem um desafio vinculado. Isso permite que um invasor que intercepte tal código o troque por tokens de um cliente público utilizando qualquer `code verifier` não vazio. PKCE (Proof Key for Code Exchange) é uma extensão de segurança usada para prevenir ataques de injeção de código de autorização.

Um problema de server-side request forgery (SSRF) existe onde atacantes com permissões para registrar ou modificar clientes OAuth 2.0 podem forçar o servidor a buscar recursos internos. Isso ocorre através do uso de uma variável `jwks uri` não validada. Ao utilizar a autenticação de cliente e a validação de token de ID, buscas não autenticadas podem ser disparadas para sondar hosts internos, endpoints de metadados ou arquivos locais, ou para causar a negação de serviço através do esgotamento de threads de requisição.

Existe um problema de autorização inadequada que permite que administradores delegados encerrem sessões fora de seus reinos (realms) atribuídos. Isso ocorre porque as verificações de reino são realizadas usando o reino do solicitante em vez do reino da sessão de destino. Contas autenticadas que possuem o atributo `iplanet-am-session-destroy-sessions` podem fornecer um identificador ou handle de sessão de destino para desconectar forçadamente usuários em qualquer reino.

Um problema de cross-site request forgery (CSRF) existe no manipulador de página do gerenciador de arquivos. O sistema exclui anexos de página via requisições GET sem validar um token CSRF—um token único usado para verificar se uma requisição foi enviada intencionalmente pelo usuário. Um invasor pode enganar um proprietário de página ou administrador autenticado para realizar uma navegação GET de nível superior usando o parâmetro `do` com valores como `del`, `erase` ou `emptytrash`, resultando na exclusão ou purga permanente dos anexos da página.

Existe uma falha de bypass de autenticação na caixa de entrada do ActivityPub devido a uma falha na vinculação do assinante da assinatura HTTP verificada ao ator da atividade. Isso permite que atacantes não autenticados que possuam qualquer par de chaves ActivityPub enviem atividades de Exclusão (Delete) ou Atualização (Update) assinadas. Ao referenciar a `sourceUrl` de uma entrada espelhada, um atacante pode excluir ou sobrescrever entradas federadas de outros atores.