Caycon

BookStack before 26.09.3 contains a missing authorization vulnerability in ImageController::checkImagePermission() that allows authenticated non-admin users to bypass page-level content restrictions for images whose owning page has been moved to the recycle bin, because the permission check relies on Page::getPage() which returns null for soft-deleted pages and silently skips the PageView check. Attackers can enumerate sequential image IDs via GET /images/edit/{id} to disclose metadata of restricted images, and users with image-update-all/image-delete-all privileges can rename, replace, or permanently delete images belonging to content they cannot view, persisting the damage even after the page is restored.

ToolJet before 3.21.94, fixed in commit e5f387a, contains an authorization bypass vulnerability in the app environments init endpoint that allows authenticated users to read app version metadata belonging to other workspaces. Attackers can send GET requests to /api/app-environments/init with an editing version id from another workspace to retrieve the version name, description, status, current environment ID, and app ID, because the lookup is not scoped to the caller's organization.

Existe um problema de validação de entrada onde as funções `NewHandleWithNoSecrets()` e `ReadWithNoSecrets()` ignoram a etapa estrutural `Validate()` antes de construir um keyset.Handle. Isso permite que keysets públicos ou sem segredos malformados, que violam invariantes internos, sejam aceitos. Um invasor pode fornecer um keyset malformado, como um que contenha uma chave pública habilitada sem uma chave primária válida ou uma chave DESTROYED sem `KeyData`. Isso leva a uma validação inconsistente a jusante, pois funções como `JWKSetFromPublicKeysetHandle()` podem processar o handle inválido e produzir um conjunto JWK, potencialmente enganando aplicações que assumem que a construção bem-sucedida do handle garante a integridade do keyset.

Existe uma falha de bypass de autorização no endpoint 'POST /api/v2/resources/export'. Usuários autenticados podem expor esquemas de tabela do TooljetDB entre limites de workspace ou exportar definições de aplicativos ignorando permissões granulares. Isso é feito fornecendo um parâmetro `organization id` no corpo da requisição para acessar esquemas de outros workspaces ou exportar definições de aplicativos restritos dentro de seu próprio workspace.

Membros autenticados de um espaço de trabalho podem realizar operações não autorizadas no armazenamento de documentos devido à falta de autorização em endpoints de mutação. Usuários com permissões de apenas visualização podem enviar requisições HTTP diretas para as rotas 'upsert' e 'refresh' do armazenamento de documentos. Isso permite disparar a ingestão de documentos, atualizar conteúdos do banco de dados vetorial, consumir créditos de API de embedding e modificar bases de conhecimento utilizadas por fluxos de chat subsequentes.

Ocorre uma referência direta insegura a objeto (IDOR) na integração do OpenAI Assistants. Este problema permite que atacantes autenticados acessem credenciais de outros espaços de trabalho ao fornecer um UUID de credencial arbitrário aos endpoints do Assistants, pois o sistema não verifica a propriedade do espaço de trabalho. Ao explorar a falta de verificação de autorização com escopo de espaço de trabalho na lógica de busca de credenciais, atacantes podem enumerar metadados de assistentes entre espaços de trabalho, recuperar listagens de arquivos e vector stores, e fazer upload de arquivos em espaços de trabalho de vítimas.

Existe uma falha de bypass de autenticação devido à correspondência de lista branca baseada em prefixo no middleware de autenticação localizado em `packages/server/src/utils/constants.ts`. Atacantes não autenticados podem enviar uma requisição POST para o endpoint 'oauth2-credential refresh' com um identificador de credencial final para ignorar as verificações de autenticação e autorização. Isso permite a rotação não autorizada de tokens OAuth para credenciais em qualquer workspace, o que pode interromper integrações OAuth dependentes.

Existe uma falha de bypass de autorização no `BackupRestoreController` devido a um erro de precedência de operador PHP na expressão de verificação de permissão. Isso permite que usuários autenticados sem privilégios administrativos ignorem os controles de acesso e realizem ações restritas, incluindo a criação, download e restauração de backups.

Um problema no `FileManagerController` permite que atacantes autenticados com a capacidade `file manager mkfile` alcancem a execução remota de código. Isso é possível devido à falta de validação de extensão de arquivo nas funções `create file()` e `save()`, permitindo a criação de arquivos PHP arbitrários no diretório `FILES DIR` acessível via web. A execução é disparada ao solicitar o arquivo criado via HTTP.