Basant Kumar

Um problema de validação de entrada permite que atacantes autenticados causem a negação de serviço. Ao enviar um JSON do Tiptap onde o campo `attrs.href` é definido como um array em vez de uma string, um TypeError não tratado é disparado na função `isAllowedUri()` quando o valor é passado para `preg match()`. Isso permite que atacantes persistam registros JSON malformados que travam permanentemente o pipeline de renderização HTML no servidor para todos os visualizadores subsequentes desse registro até que a entrada no banco de dados seja reparada manualmente.

Um problema de cross-site scripting armazenado existe no fluxo de cadastro de clientes. O controlador `Signup::addUser()` copia valores brutos de POST do `username` para o campo `display name` antes que a sanitização ocorra. Isso permite que atacantes enviem marcações HTML e scripts no campo `username` durante o cadastro; embora a marcação seja removida da coluna de nome de usuário, ela é persistida na coluna `display name`. O script é executado quando o `display name` é renderizado sem codificação em visualizações vulneráveis.

Um problema de upload de arquivo irrestrito existe no endpoint de upload de plugins. Isso permite que usuários com privilégios de super admin executem código PHP arbitrário ao fazer o upload de um arquivo ZIP de plugin malicioso. O ataque envolve a criação de um arquivo ZIP contendo um arquivo `plugin.php` com um cabeçalho Slug válido e um arquivo `public/index.php` contendo código PHP arbitrário. Esse código é executado com as permissões do usuário do servidor web quando acessado por meio de requisições HTTP não autenticadas ao caminho público do plugin.

Um problema de recursão descontrolada existe no ciclo de despacho do controlador de administração. A função `Base::init()` invoca repetidamente a função `permission()` em manipuladores de erro, levando a uma recursão infinita que esgota os limites de memória do PHP. Um usuário com baixos privilégios pode disparar isso enviando requisições sustentadas para URLs de administração proibidas, resultando em negação de serviço para o tráfego legítimo ao esgotar a memória do PHP em todos os workers.

Um problema de divulgação de informações permite que atacantes não autenticados enumerem arquivos e diretórios. Isso ocorre porque múltiplos caminhos carecem de diretivas de índice adequadas em arquivos .htaccess, que são arquivos de configuração usados por servidores web Apache para controlar definições ao nível de diretório. Atacantes podem acessar caminhos de ativos de administração, plugins, temas e pastas de mídia para visualizar nomes de arquivos, tamanhos de arquivos, carimbos de data/hora de modificação e modelos de administração não renderizados que contêm mapas de rotas sensíveis.

Um problema de cross-site scripting refletido não autenticado existe no renderizador de visualização do editor visual. Atacantes podem executar JavaScript arbitrário manipulando o parâmetro de consulta `r` e o parâmetro POST ` component ajax`. Isso ocorre porque a função `isEditor()` não realiza a verificação de sessão, função ou token, e o manipulador de visualização injeta conteúdo bruto do corpo POST HTML sem sanitização. Atacantes podem usar um link malicioso ou um formulário enviado automaticamente para executar JavaScript controlado no contexto da origem do Vvveb.

Um problema de divulgação de informações existe no controlador de cron que permite que atacantes não autenticados recuperem a chave secreta de cron da aplicação. Ao acessar o controlador de cron sem autenticação, um atacante pode obter a chave secreta exposta a partir da resposta, o que permite o acionamento da execução de tarefas agendadas fora do cronograma pretendido.

Um problema de credenciais codificadas existe na configuração `docker-compose-apache.yaml`. Isso permite que atacantes não autenticados acessem o contêiner phpMyAdmin integrado usando credenciais de banco de dados pré-configuradas. Ao se conectar à porta do phpMyAdmin, os atacantes podem obter acesso irrestrito de leitura e gravação a todo o banco de dados, incluindo hashes de senhas de administradores, informações de identificação pessoal de clientes e dados de pedidos, o que pode levar à invasão de contas e manipulação de dados.

Um problema de upload de arquivo irrestrito existe no manipulador de upload de mídia. Usuários autenticados com permissões de upload de mídia podem ignorar as restrições de extensão fazendo o upload de um arquivo `.htaccess` para mapear extensões `.phtml` para o manipulador PHP. Isso permite o upload de um arquivo `.phtml` contendo código PHP arbitrário, que pode ser executado ao enviar uma requisição HTTP GET não autenticada para o arquivo carregado, resultando em execução remota de código com privilégios do servidor web.

Um problema de injeção de entidade externa XML (XXE) existe no recurso admin Tools/Import. Usuários `site admin` autenticados podem explorar a configuração do analisador XML no endpoint 'system/import/xml.php' para injetar referências de entidade `file://` ou `php://filter`. Essas referências são resolvidas e persistidas no banco de dados da aplicação, permitindo a divulgação de arquivos arbitrários e a sobrescrita de hashes de senha de administradores para escalonamento de privilégios.

O editor de código do administrador permite que usuários autenticados com baixos privilégios, como as funções de editor, autor, contribuidor ou site admin, executem código arbitrário. Isso é possível devido a restrições insuficientes de extensão de arquivo, permitindo que invasores escrevam um arquivo `.htaccess` malicioso para mapear extensões arbitrárias para o manipulador PHP. Subsequentemente, código PHP pode ser carregado usando essas extensões para alcançar a execução remota de código quando o arquivo é acessado via HTTP.

Um problema de divulgação de informações permite que atacantes não autenticados obtenham informações sensíveis do servidor ao disparar exceções não tratadas no módulo de redefinição de senha. Ao acessar o endpoint de redefinição de senha do administrador, um erro fatal é disparado devido à ausência de importação de um namespace. Isso expõe o caminho absoluto do arquivo do servidor, namespaces de classes internas, números de linha e trechos do código-fonte por meio do manipulador de exceções de depuração.