Bjã¶Rn Brala

Um invasor com permissões de escrita apropriadas no JSON:API poderia, em certas circunstâncias raras, injetar um payload malicioso, resultando em PHP Object Injection. O PHP Object Injection ocorre quando entradas não confiáveis são usadas para instanciar objetos, o que pode permitir que um invasor execute código arbitrário ou manipule a lógica da aplicação. Este problema é explorável apenas se o site utilizar um tipo de campo de referência de entidade que armazene uma propriedade serializada e tiver habilitado o acesso de escrita para o JSON:API, que é somente leitura por padrão.

Os módulos JSON:API e REST permitem o upload de arquivos de imagem para campos de imagem. As regras de validação verificam a extensão do arquivo, mas não o tipo MIME (Multipurpose Internet Mail Extensions), que é um padrão usado para identificar a natureza e o formato de um documento. Essa falha permite que um usuário mal-intencionado faça o upload de arquivos que não sejam imagens. Dependendo da configuração do servidor web, esses arquivos podem ser servidos com seu tipo MIME real, podendo levar a cross-site scripting (XSS), onde scripts maliciosos são injetados em sites confiáveis, ou a outros comportamentos inesperados.