Bobur Abdugafforov

Um problema de controle de acesso quebrado existe no endpoint da API de Estatísticas do Mautic '/api/stats/{table}'. O sistema não aplicou as permissões para diversas tabelas internas, pois as restrições destinadas apenas a administradores não foram implementadas e tabelas sem mapeamento explícito de permissões permaneceram legíveis por padrão. Consequentemente, qualquer usuário autenticado da API, independentemente de sua função ou permissões, pode acessar dados sensíveis. Isso inclui o log de auditoria da aplicação contendo ações de usuários e detalhes de alterações que podem expor dados pessoais de contatos, endereços IP de visitantes, detalhes de geolocalização e URLs de redirecionamento rastreadas com mapeamentos de canais.

Um problema de SQL Injection existe no endpoint da API de dados do widget do painel '/api/data/{type}'. Isso ocorre porque os parâmetros de filtro de gráfico fornecidos pelo cliente não são devidamente validados antes de serem usados em consultas ao banco de dados que geram dados de gráficos do painel. Um usuário autenticado com acesso à API pode usar blind SQL injection—uma técnica usada para recuperar dados de um banco de dados fazendo perguntas de verdadeiro/falso—para ler informações arbitrárias do banco de dados, incluindo detalhes de contato, dados de marketing e hashes de senha de contas de usuário. Além disso, o SQL injetado pode ser usado para desacelerar as consultas, impactando potencialmente a disponibilidade. A modificação de dados não é possível, e a exploração requer que a API do Mautic esteja habilitada.

Usuários autenticados podem alcançar a execução remota de código no servidor Prefect por meio de uma falha de injeção de argumentos. O problema ocorre porque o parâmetro `branch` no passo de pull `git clone` é passado diretamente para o comando git pull sem a sanitização adequada, permitindo a injeção de argumentos git arbitrários.

Existe um problema de divulgação de informações onde invasores remotos não autenticados podem recuperar registros de locatários (tenants) de organizações. Isso é possível através da função de nuvem Parse `gettenant`, que aceita o parâmetro `contactId` e retorna o registro completo do locatário sem realizar verificações de autenticação ou autorização. Isso permite a enumeração e a divulgação de dados de configuração de locatários de qualquer organização no sistema.

Um problema de escalonamento de privilégios existe onde um invasor que possua um token de provisionamento SCIM com escopo de origem pode obter privilégios de superusuário. Isso ocorre porque a função de ingestão de grupo SCIM adota qualquer grupo existente pelo nome e substitui sua composição sem validar o escopo da origem em relação ao grupo de destino. Ao provisionar um grupo SCIM que corresponda ao nome de um grupo de administrador existente, um invasor pode conceder ao seu token de provisionamento acesso total de superusuário ao IdP e bloquear todos os administradores atuais.

Um problema de escalonamento de privilégios existe onde um invasor que possua um token de provisionamento SCIM com escopo de origem pode assumir qualquer conta de usuário, incluindo superusuários. Isso ocorre porque a função de ingestão de usuários SCIM adota contas locais pré-existentes com base no nome de usuário sem validar os limites de escopo. Consequentemente, um invasor pode reescrever ou excluir qualquer conta usando uma credencial de provisionamento limitada.

Ocorre uma referência direta insegura a objetos (IDOR) quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Neste caso, invasores remotos não autenticados podem recuperar qualquer registro de contato através da função de nuvem Parse `getcontact`. A função é executada com `useMasterKey` e não realiza verificações de autenticação ou autorização antes de retornar o objeto de contato solicitado, permitindo a enumeração e a leitura de todos os registros de contatos, incluindo informações de identificação pessoal.

Ocorre uma referência direta insegura a objetos (IDOR) quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Neste caso, o manipulador `AlbumCover` não verifica se o usuário solicitante está autorizado a acessar um álbum específico antes de fornecer a imagem de capa. Consequentemente, qualquer usuário que possua um token de visualização válido pode enumerar e baixar fotos de capa em resolução original de álbuns pertencentes a outros usuários.

Ocorre uma referência direta insegura a objetos (IDOR) quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Neste caso, qualquer organizador de eventos autenticado pode injetar participantes e pedidos em eventos pertencentes a outras contas através do endpoint 'postInviteAttendee'. O problema ocorre porque o endpoint carrega o evento alvo por ID sem restringir a consulta à conta do organizador autenticado, permitindo que um invasor modifique dados de eventos e registros financeiros entre diferentes contas.

Ocorre uma referência direta insegura a objetos (IDOR) quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Neste caso, qualquer organizador de evento autenticado pode importar participantes em massa para eventos pertencentes a outras contas através do endpoint 'postImportAttendee'. O sistema carrega o evento alvo por ID sem verificar se a conta do organizador solicitante é a proprietária do evento, permitindo que um invasor injete dados de participantes em massa em qualquer evento, independentemente dos limites da conta.

Um problema de verificação de integridade permite que atacantes remotos não autenticados falsifiquem entradas de trilha de auditoria de documentos. Isso é possível através da função de nuvem `triggerevent Parse`, que aceita a identidade do visualizador e o endereço IP como parâmetros fornecidos pelo chamador sem autenticação. Ao explorar isso, um atacante pode fabricar entradas de log de auditoria arbitrárias e adulterar a trilha de auditoria legal de qualquer documento assinado, comprometendo o não repúdio, que é a garantia de que alguém não possa negar a validade de algo.

Ocorre uma falha de bypass de autenticação quando usuários autenticados de baixo privilégio ignoram as verificações de autorização do proxy do Docker. Isso é causado pela normalização de URL não canônica, na qual o endpoint do proxy falha em normalizar os caminhos de solicitação antes de aplicar os controles de acesso. Essa discrepância permite que solicitações manipuladas sejam interpretadas de forma diferente pelo proxy e pela camada de autorização, anulando todo o middleware de autorização e concedendo ao invasor acesso de nível root ao host Docker subjacente.

Uma falha de autenticação permite que atacantes remotos não autenticados criem sessões do Stripe Billing Portal para qualquer locatário. Isso ocorre por meio da mutação GraphQL `stripeCustomerPortal`, que não realiza verificações de autenticação ou autorização antes de vincular uma sessão a uma conta Stripe de locatário. Consequentemente, um atacante pode acessar e gerenciar dados de assinatura de qualquer locatário sem fornecer credenciais.

Uma falha de autenticação ausente permite que atacantes remotos não autenticados manipulem assinaturas do Stripe de qualquer locatário. Isso ocorre porque a mutação GraphQL `stripeCreateIntent` carece de verificações de autenticação e autorização necessárias, permitindo que usuários não autorizados criem intenções de pagamento e alterem detalhes de faturamento sem credenciais.

Existe um problema de divulgação de informações onde invasores remotos não autenticados podem mapear qualquer endereço de e-mail ou nome de usuário para seu `objectId` de usuário interno através da função de nuvem Parse `getUserId()`. A função não realiza a autenticação antes de resolver e retornar o identificador interno, o que permite a enumeração de contas de usuário para facilitar ataques subsequentes.

Um problema de divulgação de informações permite que membros autenticados de um espaço de trabalho leiam rascunhos de scripts legados sem proprietário que contenham credenciais de recursos em texto simples. Isso ocorre porque rascunhos com um e-mail de proprietário nulo ignoram a aplicação da Lista de Controle de Acesso (ACL)—um mecanismo de segurança que define quais usuários têm acesso a recursos específicos—e são retornados a qualquer membro que consulte o endpoint de rascunhos. Consequentemente, credenciais sensíveis armazenadas nesses rascunhos são expostas através dos limites de ACL.

Uma falha de autorização permite que membros autenticados de um espaço de trabalho sobrescrevam qualquer esquema de tipo de recurso. Isso ocorre porque o endpoint 'update resource type' não realiza a verificação de permissão de administrador que está presente no endpoint 'delete resource type'. Um invasor com privilégios de membro do espaço de trabalho pode explorar isso para corromper definições de tipos de recursos, o que pode interromper fluxos de trabalho dependentes.

Uma falha de autorização permite que operadores autenticados gravem o progresso de tarefas e leiam métricas de qualquer tarefa no espaço de trabalho, independentemente da propriedade. Isso ocorre porque os manipuladores `job metrics` não utilizam um extrator de autorização, ignorando os controles de acesso ao nível do espaço de trabalho. Consequentemente, um operador pode monitorar dados sensíveis de execução de tarefas e injetar progressos enganosos em tarefas que não lhe pertencem.

Ocorre uma referência direta insegura a objetos (IDOR) quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Neste caso, invasores remotos não autenticados podem gravar em qualquer registro de contato usando a função de nuvem Parse `updatecontacttour`. Como a função carece de verificações de autenticação e autorização, um invasor pode corromper ou sobrescrever dados de contato de qualquer usuário no sistema sem fornecer credenciais.

Um problema de injeção de SQL permite que atacantes remotos não autenticados executem instruções SQL arbitrárias. Isso ocorre porque o parâmetro `order` no endpoint 'photo-view' é concatenado sem escape em uma consulta SHOW COLUMNS usando uma chamada PDO::query() simples, o que possibilita a injeção de instruções empilhadas. Isso permite que um atacante leia, modifique ou exclua todo o banco de dados.