Cristianstaicu

OneUptime é uma plataforma de monitoramento e observabilidade de código aberto. O software utiliza o módulo `vm` do Node.js como um primitivo de isolamento. Como esta API não foi projetada para isolamento, ela pode ser evadida através do uso de objetos de erro e recursão infinita.

Nome do Software Vulnerável e Versões Afetadas Versões do Ghost de 0.7.2 até 6.19.0 Descrição O Ghost, um sistema de gerenciamento de conteúdo baseado em Node.js, está afetado por um problema de execução de código. Temas criados maliciosamente podem executar código arbitrário no servidor. Recomenda-se evitar a instalação de temas não confiáveis. Se um tema malicioso já foi instalado, desinstale-o e examine-o para compreender seu impacto. Recomendações Atualize para a versão 6.19.1 ou posterior. Desinstale quaisquer temas maliciosos. Inspecione os temas instalados para avaliar o impacto potencial.

O SandboxJS, uma biblioteca de sandboxing em JavaScript, apresenta um problema de escape de sandbox. Isso se deve a uma discrepância entre a chave usada para validação e a chave usada para acesso à propriedade. A chave, que deveria ser uma string, não é validada como tal, permitindo que atacantes utilizem objetos maliciosos que alteram os valores das strings durante a sanitização e o acesso à propriedade. Isso pode levar à execução remota de código se um atacante conseguir executar código dentro do sandbox.

As medidas de segurança do enclave-vm são inadequadas. A sanitização da Árvore Sintática Abstrata (AST) pode ser contornada usando acessos a propriedades dinâmicas. O reforço de objetos de erro não aborda completamente o comportamento peculiar dentro do módulo vm. Além disso, a prevenção de acesso ao construtor de funções pode ser contornada utilizando referências a objetos do host. Um bug no Node.js permite que o módulo vm vaze referências do host durante recursão infinita, o que pode ser explorado para escapar da sandbox. Uma prova de conceito demonstra a capacidade de executar comandos arbitrários, como a leitura do arquivo /etc/passwd, explorando essa vulnerabilidade. Isso pode levar ao escape da sandbox e a possíveis escaladas de privilégio em produtos relacionados, como FrontMCP, AgentFront e outros produtos da Frontegg. A exploração utiliza a propriedade `[[" proto "]]` para acessar e modificar cadeias de protótipos, levando, por fim, à execução de código. O código vulnerável envolve uma função recursiva `a()` e a manipulação do objeto `rootProt`.

O n8n é uma plataforma de automação de fluxo de trabalho de código aberto. Existe uma falha na qual um usuário autenticado com permissões de criação ou modificação de fluxos de trabalho pode explorar expressões manipuladas dentro dos parâmetros do fluxo de trabalho para acionar a execução de comandos arbitrários do sistema no sistema host. Esta vulnerabilidade contorna correções anteriores e permite a execução remota de código, potencialmente levando ao roubo de credenciais e ao comprometimento completo do sistema host. Webhooks públicos podem ser explorados para disparar execução remota.

O Locutus, projetado para trazer bibliotecas padrão de outras linguagens de programação para JavaScript para fins educacionais, contém uma vulnerabilidade de poluição de protótipo. Uma tentativa anterior de corrigir a poluição de protótipo verificando chaves proibidas na entrada do usuário foi insuficiente. Ainda é possível poluir `Object.prototype` por meio de uma entrada manipulada que utiliza `String.prototype`. Isso permite a injeção de propriedades maliciosas, podendo levar a um comprometimento adicional.

O Tina é um sistema de gerenciamento de conteúdo headless. Versões do Tina anteriores à 3.1.1 utilizam incorretamente o pacote gray-matter, potencialmente permitindo que atacantes que controlam o conteúdo de arquivos markdown — como posts de blog — executem código arbitrário.

O Argo Workflows, um mecanismo de fluxo de trabalho nativo para contêineres do Kubernetes, possui um problema com código inseguro de extração tar (untar) que manipula incorretamente links simbólicos dentro de arquivos compactados. Existe uma falha na forma como o destino de um link é calculado e verificado. Isso permite que um atacante sobrescreva o arquivo `/var/run/argo/argoexec` com um script malicioso, que seria então executado quando o pod for iniciado. O patch implantado anteriormente é ineficaz contra arquivos compactados que contenham links simbólicos maliciosos.

A biblioteca isolated-vm para Node.js apresenta falhas na API que podem expor isolados supostamente seguros às permissões do isolado principal do Node.js. Objetos `Reference` permitem acesso à cadeia de protótipos completa da referência subjacente, possibilitando que invasores obtenham uma `Reference` para o objeto `Function` do contexto do Node.js. Ataques semelhantes poderiam ocorrer através da modificação do protótipo local de outros objetos da API. O acesso a objetos `NativeModule` poderia permitir que um invasor carregasse e executasse código nativo de qualquer local do sistema de arquivos, levando potencialmente à execução de código arbitrário se combinado com uma API de upload de arquivos.

Name of the Vulnerable Software and Affected Versions: lodash versions prior to 4.17.11 Description: The issue is related to uncontrolled resource consumption, which can lead to a denial of service. It affects the date handler component. An attacker can exploit this by providing very long strings that the library attempts to match using a regular expression. Recommendations: For versions prior to 4.17.11, update to version 4.17.11 to resolve the issue. As a temporary workaround, consider restricting the input length for the date handler component to prevent very long strings from being processed.

Name of the Vulnerable Software and Affected Versions: string (affected versions not specified) Description: The issue concerns a regular expression denial of service that occurs when specifically crafted untrusted user input is passed into the `underscore` or `unescapeHTML` methods of the string module. Recommendations: Avoid passing user input to the `underscore` and `unescapeHTML` methods as a temporary workaround. Consider applying the user-provided patch available, although it has not been tested or merged by the package author, as an alternative solution.

Name of the Vulnerable Software and Affected Versions: timespan (affected versions not specified) Description: The timespan module is vulnerable to a regular expression denial of service. This issue can cause significant amplification, with 50,000 characters of untrusted user input resulting in the event loop being blocked for around 10 seconds. Recommendations: For all affected versions, consider using a functionally equivalent alternative package as a replacement for timespan. As a temporary workaround, ensure that user input is not being passed into timespan, or drastically reduce the maximum length of such user input, limiting it to 150 characters or less.

Name of the Vulnerable Software and Affected Versions: dns-sync versions (affected versions not specified) Description: The issue concerns an arbitrary command execution vulnerability in the `resolve()` method of dns-sync. This occurs when untrusted user input is allowed into the `resolve()` method, enabling command injection. Recommendations: - For all affected versions, do not allow untrusted input into `dns-sync.resolve()`. - As a temporary workaround, consider using an alternative dns resolver until a patch is available.

Name of the Vulnerable Software and Affected Versions: charset versions 1.0.0 and below Description: The issue concerns a regular expression denial of service. It is noted that an input of around 50,000 characters is required to cause a slow down of approximately 2 seconds. The impact of this issue is relatively low due to the default header max length in node being 80kb, unless node was compiled with a different header size limit using the `-DHTTP MAX HEADER SIZE` option. Recommendations: Update to version 1.0.1 or later.

Name of the Vulnerable Software and Affected Versions: slug versions prior to 0.9.2 Description: The issue concerns a regular expression denial of service in the slug module when specially crafted untrusted input is passed. This can cause the event loop to block for 2 seconds with approximately 50,000 characters. Recommendations: Update to version 0.9.2 or later.

Name of the Vulnerable Software and Affected Versions: Summit versions 0.1.0 and later Description: The issue allows an attacker to execute arbitrary commands via the collection name when using the PouchDB driver in the module. There is no information about the estimated number of potentially affected devices worldwide or real-world incidents where this issue was exploited. Recommendations: For Summit versions 0.1.0 and later, avoid using the `PouchDB` driver as the package author has abandoned this feature entirely.