Axel-Corsiez

Uma falha de autorização permite que usuários autenticados realizem ações não autorizadas entre diferentes workspaces. O 'DuplicateAssetEndpoint' busca um FileAsset de origem sem restringi-lo ao workspace do solicitante, permitindo a duplicação de ativos entre workspaces. Além disso, o 'WorkspaceFileAssetEndpoint' e o 'FileAssetEndpoint' legado omitem a autorização de workspace, permitindo que usuários leiam, criem, modifiquem ou excluam ativos em workspaces dos quais não são membros. Adicionalmente, a função `retrieve` no 'WorkspaceViewViewSet' carece do decorador de autorização utilizado em suas ações correlatas, expondo uma superfície de leitura não autorizada para visualizações de workspace.

Atacantes autenticados podem executar consultas SQL arbitrárias e recuperar resultados em respostas HTTP. Isso ocorre porque os endpoints de análise de trace-funnel interpolam os campos `service name` e `span name` em literais de string do ClickHouse sem a devida filtragem (escaping).

O manipulador HTTP falha ao aplicar wrappers de autorização aos endpoints de análise de trace-funnel. Isso permite que atacantes não autenticados enviem definições de funil arbitrárias para recuperar análises de rastreamento, incluindo identificadores, durações, contagens de span, topologia de serviço e atividade de erro, sem fornecer credenciais.

Uma injeção de SQL existe nos endpoints de lista de atividades 'GET /api/v1/fleet/activities' e 'GET /api/v1/fleet/hosts/{id}/activities'. O problema decorre do auxiliar de paginação por cursor depreciado `appendListOptionsWithCursorToSQL`, que interpola chaves de ordenação fornecidas pelo usuário na cláusula SQL ORDER BY sem utilizar uma lista de permissões (allowlist). Isso permite que um usuário autenticado com acesso de leitura à Atividade ordene os resultados por colunas arbitrárias. O impacto é apenas de leitura e limitado a colunas na tabela `activity past` que não são normalmente retornadas nas respostas, como `details`, permitindo que seus valores sejam inferidos através da ordem de classificação. Isso não permite acesso de gravação, escalonamento de privilégios ou acesso ao `node key` ou outras colunas de junção de host.

Múltiplos componentes da interface web Livewire não validam a propriedade da equipe ao processar `server id` e `destination uuid` passados via parâmetros de consulta de URL. Embora os controladores de API utilizem corretamente a função `Server::whereTeamId($teamId)` para verificar a propriedade, a ausência de verificações semelhantes na interface web permite a implantação de recursos entre equipes, concedendo acesso não autorizado a operações de servidor, aplicativo e banco de dados. Mais de 183.000 dispositivos potencialmente afetados foram identificados em todo o mundo.

Um endpoint GraphQL opcional em "/graphql" não aplica as mesmas verificações de autorização que a API REST. Isso permite que qualquer usuário autenticado, independentemente de sua função ou Lista de Controle de Acesso (ACL) do caso, realize ações não autorizadas. Estas incluem a leitura de Indicadores de Comprometimento (IOC) em diferentes casos via Insecure Direct Object Reference (IDOR), a divulgação em massa de IOCs através do resolver `case.iocs` — que retorna IOCs vinculados a um caso arbitrário sem verificar o acesso — e a criação não autorizada de casos.

A função de busca de token OAuth2 em `packages/server/src/sdk/workspace/oauth2/utils.ts` utiliza uma chamada `fetch(config.url)` bruta sem proteção contra Server-Side Request Forgery (SSRF). SSRF é uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido. Embora um wrapper seguro `fetchWithBlacklist()` seja usado para outras chamadas HTTP externas, ele não foi aplicado ao endpoint de token OAuth2. Um usuário com a função BUILDER pode apontar a URL do token OAuth2 para serviços internos, como CouchDB ou metadados de nuvem, para exfiltrar dados sensíveis.

Name of the Vulnerable Software and Affected Versions Saltcorn versões anteriores a 1.4.5, anteriores a 1.5.5 e anteriores a 1.6.0-beta.4. Description Saltcorn é um construtor de aplicativos de banco de dados de código aberto, extensível e sem código. Atacantes não autenticados podem criar diretórios arbitrários e gravar conteúdo JSON controlado por atacantes em arquivos através do endpoint da API `POST /sync/offline changes`. O endpoint da API `GET /sync/upload finished` permite que atacantes não autenticados listem o conteúdo de diretórios arbitrários e leiam arquivos JSON específicos. A vulnerabilidade decorre da falta de validação de caminho adequada nesses endpoints, especificamente a falha ao aplicar a função `File.normalise in base()` usada em outras partes do código. O parâmetro `newSyncTimestamp` no endpoint `POST /sync/offline changes` e o parâmetro de consulta `dir name` no endpoint `GET /sync/upload finished` são usados diretamente em `path.join()` sem sanitização, permitindo a travessia de caminho. Isso pode levar à gravação arbitrária de arquivos, listagem de diretórios e potencial execução remota de código, gravando em caminhos confidenciais. Recommendations Aplique `File.normalise in base()` aos endpoints `POST /sync/offline changes` e `GET /sync/upload finished`, espelhando a implementação no endpoint `clean sync dir`. Além disso, adicione o middleware `loggedIn` aos endpoints que modificam o estado do servidor.

Nome do Software Vulnerável e Versões Afetadas: changedetection.io versões anteriores a 0.54.8 Descrição: O decorador `@login optionally required` foi incorretamente posicionado antes de `@blueprint.route()` em 13 rotas em 5 arquivos blueprint. Essa inversão na ordem dos decoradores ignora as verificações de autenticação, permitindo acesso não autenticado a rotas sensíveis, incluindo criação, listagem, download e remoção de backups. A exploração bem-sucedida pode levar à exfiltração completa de dados, incluindo URLs monitoradas, URLs de webhook de notificação (que podem conter tokens de API) e dados de configuração. Os invasores também podem enviar backups maliciosos para injetar configurações, realizar Server-Side Request Forgery (SSRF) e potencialmente sequestrar sessões de navegador. Os endpoints da API afetados incluem '/backups/request-backup', '/backups/', '/backups/download/<filename>' e '/backups/remove-backups'. O parâmetro vulnerável é o nome do arquivo no endpoint '/backups/download/<filename>'. Recomendações: Atualize para a versão 0.54.8 ou posterior. Certifique-se de que o decorador `@blueprint.route()` seja o decorador mais externo para todas as rotas afetadas. Por exemplo: @blueprint.route('/backups/download/<filename>') @login optionally required def download backup(filename):

O mecanismo de proteção `ADMIN ONLY OPTIONS`, destinado a restringir o acesso a valores de configuração sensíveis, não é aplicado às opções de configuração de plugins. Especificamente, o plugin `AntiVirus` armazena um caminho de executável (`avfile`) em sua configuração, que é então passado diretamente para `subprocess.Popen()`. Um usuário não administrador com permissão SETTINGS pode modificar este caminho para executar código arbitrário. A vulnerabilidade também permite a leitura arbitrária de arquivos através da manipulação da opção de configuração `storage folder`. Um atacante pode definir `storage folder` como '/' e, em seguida, acessar arquivos como `/etc/passwd` através do endpoint da API `/files/get/`. Isso resulta em execução remota de código, potencial escalonamento de privilégios e leitura arbitrária de arquivos. **API Endpoints**: `/api/set config value`, `/api/add package`, `/files/get/` **Parâmetros ou Variáveis Vulneráveis**: `avfile`, `avargs`, `storage folder`, `section`, `option`, `value` **Funções Vulneráveis**: `scan file()`, `set config value()`

Name of the Vulnerable Software and Affected Versions OneUptime versões anteriores a 10.0.42 Description OneUptime, uma plataforma de monitoramento e observabilidade de código aberto, apresentava uma falha onde o acesso não autenticado aos endpoints de teste de notificação e gerenciamento de números de telefone permitia abusos, incluindo spam de SMS, chamadas, e-mails e WhatsApp, bem como compras não autorizadas de números de telefone. Os invasores poderiam potencialmente esgotar orçamentos e inundar alvos com mensagens indesejadas. Recommendations Atualize para a versão 10.0.42 ou posterior.

Name of the Vulnerable Software and Affected Versions Fireshare versões anteriores a 1.5.3 Description Fireshare facilita o compartilhamento de mídia e links auto-hospedados. Antes da versão 1.5.3, uma falha existia no endpoint /api/uploadChunked/public onde um invasor não autenticado poderia manipular o parâmetro `checkSum` para gravar arquivos arbitrários com conteúdo controlado pelo invasor em qualquer caminho de gravação no sistema de arquivos do servidor. A correção para um problema relacionado foi aplicada ao endpoint autenticado /api/uploadChunked, mas não ao endpoint não autenticado. Isso permite a execução remota de código. Recommendations Atualize para a versão 1.5.3 ou posterior.

Name of the Vulnerable Software and Affected Versions PdfDing versões anteriores a 1.7.1 Description PdfDing é um gerenciador, visualizador e editor de PDF auto-hospedado. Em versões anteriores a 1.7.1, a função `check shared access allowed()` valida apenas a existência da sessão e não verifica se um PDF compartilhado está inativo (expirado ou atingiu seu limite máximo de visualizações) ou excluído. Os endpoints da API Serve e Download, ''/serve'' e ''/download'', dependem desta função, permitindo que usuários previamente autorizados acessem conteúdo PDF compartilhado após a expiração, atingindo o limite de visualizações ou exclusão. Recommendations Atualize para a versão 1.7.1 ou posterior.