Aurelien Thirion

O módulo Onion contém uma falha em sua lógica de extração de URL devido a um atalho de desempenho. O sistema valida alvos .onion utilizando apenas uma verificação de comprimento de exatamente 69 caracteres e uma verificação de sufixo para ".onion", omitindo a análise adequada do nome do host ou a validação do domínio onion. Um invasor não autenticado pode incorporar uma URL manipulada contendo um endereço IP ou um nome de host não-onion com um caminho terminando em ".onion" em conteúdo rastreado pelo framework. Isso permite a injeção de alvos arbitrários não-onion na fila de tarefas do crawler, potencialmente direcionando o framework para recursos de rede indesejados e comprometendo a integridade da seleção de alvos.

Um problema de cross-site scripting (XSS) armazenado existe em dois templates Jinja2 usados para renderizar popovers de conteúdo correspondente, rastreado ou marcado: `var/www/templates/chats explorer/block message.html` e `var/www/templates/objects/item/show item.html`. Valores dinâmicos como `icon color`, `icon style`, `icon glyph`, `subtype`, `identifier`, `name`, `description` e `matched value` são inseridos no atributo HTML `data-content` de elementos popover do Bootstrap sem a codificação de saída adequada. Como esses popovers utilizam `data-html="true"`, o navegador interpreta o conteúdo como HTML. Um invasor autenticado capaz de influenciar esse conteúdo pode injetar HTML ou JavaScript arbitrário, que é executado na sessão de uma vítima ao visualizar o popover, potencialmente permitindo a exfiltração de dados ou ações não autorizadas com os privilégios da vítima.

O recurso de linha do tempo de nomes de usuário é suscetível a cross-site scripting (XSS) armazenado. Nomes de usuário importados de chats e fóruns rastreados são armazenados sem restrições de caracteres. Quando um analista autenticado passa o mouse sobre uma entrada da linha do tempo, a aplicação renderiza o nome de usuário armazenado no Document Object Model (DOM) usando o método `html()` do D3 na dica de ferramenta (tooltip). Como a variável `d.obj` é interpolada diretamente em uma string HTML sem sanitização, um nome de usuário manipulado contendo manipuladores de eventos HTML pode executar JavaScript arbitrário no navegador do analista. Este problema reside no arquivo JavaScript do lado do cliente `var/www/static/js/d3/timeline basic.js`. A exploração bem-sucedida pode resultar em sequestro de sessão, exfiltração de dados ou ações não autorizadas dentro da sessão autenticada.

O componente de seleção de tags localizado em `var/www/static/js/tags.js` é suscetível a cross-site scripting (XSS) armazenado. Um usuário autenticado com permissões para criar tags personalizadas pode incorporar payloads HTML contendo manipuladores de eventos JavaScript dentro do nome de uma tag. O problema ocorre porque a função ` renderComboItems` e a lógica de renderização de tags selecionadas passam o valor de `displayField` diretamente para a propriedade `html` do jQuery, que insere a string como HTML bruto no Document Object Model (DOM) em vez de tratá-la como texto simples. Isso permite a execução de JavaScript arbitrário no navegador de qualquer usuário autenticado que visualize uma página que renderize a tag maliciosa, podendo levar ao sequestro de sessão, acesso não autorizado a dados ou manipulação de formulários.

A página de domínio splash do crawler `showDomain.html` é suscetível a injeção de script entre sites (XSS) armazenada. Isso ocorre porque dados fornecidos pelo usuário originados de capturas de crawler importadas—especificamente `item IDs`, `URLs` e caminhos de arquivos de captura de tela—são interpolados diretamente em contextos JavaScript inline dentro do modelo HTML. O problema se manifesta em um atributo `onclick` que incorpora valores brutos de captura de tela e URL em uma chamada de função JavaScript, bem como em um bloco de script inline que atribui um valor de captura de tela a uma variável JavaScript sem a devida filtragem. Um invasor com um cliente de API com função de usuário pode importar capturas de crawler maliciosas contendo payloads de JavaScript. Quando um usuário visualiza a página de domínio afetada, o script é executado no contexto do navegador, o que pode levar ao sequestro de sessão, exfiltração de dados ou ações não autorizadas.

Um problema de server-side request forgery (SSRF) existe na funcionalidade de submissão do crawler. Um usuário autenticado com baixos privilégios pode enviar URLs arbitrárias para rastreamento devido à validação insuficiente do host de destino. Isso permite que o crawler faça requisições HTTP(S) diretas para endereços restritos, como endereços de loopback, redes privadas RFC1918, endereços link-local e serviços de metadados de nuvem, como 169.254.169.254. Tarefas manuais do crawler ignoram a lista negra de domínios porque recebem uma prioridade diferente de zero, e literais de IP são buscados diretamente em vez de usar um proxy. Um invasor pode usar o servidor como um pivô de rede para acessar serviços internos. Como a interface do crawler fornece acesso ao HTML, capturas de tela e dados HAR resultantes, o SSRF não é cego, podendo levar à divulgação de dados internos sensíveis, informações de serviço ou credenciais de instâncias na nuvem.

Um problema de cross-site scripting armazenado existe nos controles de tradução para mensagens de chat e postagens de fórum. O sistema insere identificadores de mensagens e postagens diretamente em manipuladores `onclick` de JavaScript inline dentro das funções `translateMessageToPreferredLanguage()` e `translatePostToPreferredLanguage()`. Embora esses valores sejam escapados por template HTML, eles não são codificados com segurança para uso como literais de string JavaScript dentro de um atributo HTML. Um invasor pode usar um identificador especialmente criado contendo aspas ou caracteres de escape para encerrar o argumento de string e injetar JavaScript arbitrário. Como esses valores são armazenados, o código malicioso é executado no navegador da vítima sob a origem de segurança da instância AIL quando esta clica no botão Translate to preferred language.

Um problema de cross-site scripting refletido existe no endpoint '/tag/add tags'. Quando uma operação de tag falha, a aplicação retorna o valor do erro como uma resposta HTML através da função `str(res[0])` sem a devida codificação de saída. Um invasor pode explorar isso enganando um usuário autenticado para clicar em um link especialmente criado, permitindo a execução de JavaScript arbitrário no navegador da vítima. Isso poderia permitir que o invasor realize ações usando a sessão da vítima, acesse informações sensíveis ou modifique dados. O ataque requer interação do usuário e não exige necessariamente que o invasor possua uma conta.

Um problema de cross-site scripting armazenado existe na visualização de domínio do crawler. A aplicação insere URLs rastreadas diretamente em um manipulador onclick de JavaScript usado para exibir capturas de tela armazenadas sem a codificação adequada. Um invasor pode registrar uma URL especialmente elaborada no histórico do crawler para injetar sintaxe JavaScript. Quando um analista autenticado clica no ícone de captura de tela da URL maliciosa, o script é executado na sessão do navegador do analista. Isso pode permitir que o invasor acesse informações da sessão, modifique conteúdo ou execute ações usando os privilégios do analista. A exploração requer que a vítima interaja com a entrada de captura de tela afetada.

O PlaywrightCapture armazenava configurações e dados de tempo de execução como variáveis de nível de classe mutáveis em vez de variáveis de nível de instância. Isso permite que múltiplos objetos Capture dentro do mesmo processo Python compartilhem estado, incluindo cabeçalhos HTTP, cookies, armazenamento do navegador, credenciais HTTP, configuração de proxy, configurações de user-agent, informações de geolocalização e dados de requisição capturados. Em implantações simultâneas ou multiusuário, os dados de uma captura podem persistir e ser reutilizados por outras, levando potencialmente à divulgação de cookies de autenticação, credenciais ou armazenamento do navegador. Isso também pode permitir que requisições sejam executadas usando o contexto de autenticação ou configuração de proxy de outra captura, possibilitando o acesso não autorizado a recursos remotos.

Um problema de traversal de caminho existe no tratamento de objetos PDF. A função `PDF.get filepath()` constrói um caminho de arquivo juntando o diretório de armazenamento de PDF configurado com um caminho derivado de um identificador de objeto PDF, sem verificar se o caminho resolvido permanece dentro do diretório `PDF FOLDER` pretendido. Um invasor autenticado poderia usar sequências de travessia relativa ou componentes de caminho absoluto por meio de um identificador manipulado para abrir arquivos fora do diretório de armazenamento, levando potencialmente à divulgação de dados locais sensíveis, credenciais ou configurações de aplicativo legíveis pelo processo AIL.

O AIL não restringia tentativas repetidas e malsucedidas de verificar um código de autenticação de dois fatores (OTP). Um invasor que completasse com sucesso a etapa de autenticação por senha poderia enviar um número ilimitado de palpites de OTP. Isso permite a adivinhação por força bruta de um código válido para ignorar o segundo fator de autenticação e obter acesso não autorizado à conta.

Um problema de path traversal permite que um usuário autenticado forneça identificadores de objeto manipulados por meio do fluxo de trabalho de investigação, fazendo com que os caminhos de arquivo sejam resolvidos fora dos diretórios de armazenamento de imagens, favicons ou capturas de tela pretendidos. Isso ocorre porque componentes de caminho controlados pelo usuário são unidos a caminhos de armazenamento da aplicação sem a verificação de que o caminho resolvido permaneça dentro do diretório esperado. Consequentemente, um invasor pode baixar e ler arquivos arbitrários acessíveis ao processo AIL por meio da funcionalidade de download afetada, que pode incluir esses arquivos em um arquivo compactado gerado.

Um problema de path traversal existe no endpoint '/objects/item/diff'. O endpoint aceita identificadores de itens através dos parâmetros de consulta `s1` e `s2` e tenta recuperar e comparar os conteúdos dos itens sem verificar se os itens referenciados são objetos AIL válidos. Um usuário autenticado pode usar sequências de path traversal nesses parâmetros para ler arquivos compactados em gzip acessíveis ao processo AIL, levando potencialmente à divulgação não autorizada de conteúdos de arquivos locais compatíveis com o formato gzip esperado.