Byteme.Red

ICEcoder versions through 8.1 contain a path traversal vulnerability in the file-control endpoint due to a logic error in the document-root confinement check. The File::check() validation function compares realpath() to boolean true, which never succeeds, allowing authenticated attackers to submit traversal sequences or absolute paths in the file parameter to read, write, or delete files outside the configured document root.

ICEcoder versions through 8.1 fail to properly validate the oldFileName parameter in file move and rename operations, allowing authenticated users to relocate files from outside the document root. Attackers can use path traversal sequences in oldFileName to move files writable by the PHP process into the web-accessible project directory, disclosing file contents and deleting originals.

ICEcoder through 8.1 passes an unescaped filesystem path into a shell command in lib/properties.php, allowing authenticated users to inject OS commands through directory names. Attackers can create directories with shell metacharacters in their names and access the Properties function to execute arbitrary commands as the web-server user via popen().

**Nome do Software Vulnerável e Versões Afetadas** BookStack versões anteriores a 26.05.4 **Description** Um controle de acesso quebrado permite que usuários autenticados da API com permissões de image-update ou image-delete manipulem avatares de outros usuários. Isso ocorre devido à ausência de restrições de content-type nos endpoints da API de Galeria de Imagens. Um invasor pode fornecer o ID do avatar de um usuário ao controlador da API, que ignora as restrições de galeria e drawio normalmente impostas pelo controlador web. Se o campo `uploaded to` do avatar corresponder a um ID de página acessível ao invasor, a verificação de autorização é ignorada, permitindo que o invasor renomeie, substitua ou exclua o avatar do alvo sem a necessidade de permissões de gerenciamento de usuário. **Recommendations** Atualize o BookStack para a versão 26.05.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** sysPass versão 3.2.11 **Description** Ocorre uma referência direta insegura a objetos devido à ausência de verificações de autorização no `AccountFileController`. Isso permite que um invasor autenticado acesse anexos de arquivos de conta para os quais não possui permissões de Lista de Controle de Acesso (ACL). Ao fornecer IDs de arquivo numéricos arbitrários por meio das ações de download, visualização, exclusão, upload e listagem, um invasor pode enumerar e manipular qualquer anexo no cofre, ignorando completamente os controles de acesso ao nível da conta. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** sysPass versões anteriores a 3.2.12 **Descrição** Usuários autenticados com a flag de perfil `PUBLICLINK CREATE` podem disparar a descriptografia não autorizada e o armazenamento persistente da senha de qualquer conta do cofre. Isso ocorre devido à ausência de verificações de AccountAcl no fluxo de criação de links públicos. Um invasor pode invocar o endpoint 'saveCreateFromAccountAction', fazendo com que a função `getDataForLink()` no AccountService carregue contas-alvo arbitrárias sem as restrições de `AccountFilterUser`. Esse processo descriptografa credenciais usando a chave mestra da sessão e serializa senhas em texto claro no armazenamento do Vault na linha do banco de dados PublicLink, permitindo a recuperação não autenticada subsequente caso o hash do link gerado seja recuperado. **Recomendações** Atualize para uma versão posterior à 3.2.11. Restrinja o uso da flag de perfil `PUBLICLINK CREATE` para usuários até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** sysPass versões anteriores a 3.2.12 **Description** Um problema de falta de autorização no nível do objeto existe na API JSON-RPC. Isso permite que detentores de tokens de API enumerem metadados de contas, sobrescrevam senhas e excluam contas em todo o cofre, ignorando os controles de acesso por conta. A falha ocorre porque os métodos `viewAction()`, `editAction()`, `deleteAction()` e `editPassAction()` do `AccountController` podem ser invocados sem as verificações `AccountFilterUser` necessárias, permitindo a modificação ou exclusão de contas fora das permissões atribuídas ao token. **Recommendations** Atualize o sysPass para uma versão posterior à 3.2.11.