David Cruciani

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** Existe um problema onde os endereços de e-mail de login são validados incorretamente. O sistema chama `Email(email)`, que apenas constrói um objeto validador em vez de realizar a validação de campo do WTForms. Isso permite que entradas de e-mail malformadas, controladas por um invasor, prossigam pelo processo de login e sejam gravadas em logs de segurança, incluindo um log de aviso e um logger de auditoria personalizado. Como os caracteres de retorno de carro (CR) e alimentação de linha (LF) não são escapados, um invasor não autenticado pode realizar a injeção de logs inserindo linhas de log físicas adicionais ou forjando entradas de log enganosas. **Recommendations** Para as versões 3.3.0 e posteriores, atualize o software para a versão corrigida que ajusta a chamada de validação para `Email()(form, form.email)`, implementa a gravação de logs parametrizada e utiliza a função ` sanitize log fragment()` para codificar retornos de carro e alimentações de linha.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** O Flowintel constrói o HTML da linha do tempo concatenando diretamente campos de objetos MISP controláveis por atacantes em strings HTML antes da renderização. Os campos afetados incluem o UUID do objeto, nome do objeto, valor do atributo, tipo de atributo, comentário, valores de primeira/última visualização e a flag de IDS. Embora o DOMPurify tenha sido utilizado para remover vetores de XSS, outros elementos HTML, como formulários, ainda eram permitidos, resultando em injeção de HTML. **Recommendations** Para as versões 3.3.0 e posteriores, atualize o software para uma versão onde a interpolação direta de strings seja substituída pela construção de DOM via `document.createElement()` e os valores controlados por atacantes sejam atribuídos usando `textContent`.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** Sessões autenticadas não são revogadas quando um usuário altera sua senha. Isso permite que um invasor com um token de sessão válido mantenha o acesso à conta até que a sessão expire naturalmente, mesmo após a atualização da senha. O problema ocorre nas funções `edit user core()` e `admin edit user core()`, onde o sistema falha em chamar ` invalidate user sessions(user.id)` após uma atualização no banco de dados. **Recommendations** Atualize o Flowintel para uma versão onde as funções `edit user core()` e `admin edit user core()` invoquem explicitamente ` invalidate user sessions(user.id)` ao alterar a senha.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel (versões afetadas não especificadas) **Description** Existe um problema onde o conteúdo de notas controlado por um invasor é processado pelo Pandoc e XeLaTeX durante a exportação de PDF. Isso pode levar à leitura não autorizada de arquivos locais no servidor Flowintel, que são então incorporados ao arquivo de exportação gerado. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Descrição** O Flowintel confia inadequadamente em chaves de configuração fornecidas ao endpoint de atualização de configurações de alertas. Embora os valores de configuração sejam normalizados para literais Python, as chaves são usadas diretamente para construir e substituir linhas no arquivo `conf/config module.py`. O sistema utiliza chaves controladas pelo solicitante tanto na expressão regular quanto na atribuição gerada `f'{key} = {py val}'`, anexando a atribuição caso a chave não esteja presente. Como o módulo de configuração modificado é posteriormente recarregado usando `importlib.reload()`, cria-se uma fronteira de geração de código. Isso permite que chaves de configuração especialmente elaboradas alterem a estrutura do código-fonte Python, resultando na execução de instruções Python controladas por um invasor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** O Flowintel permite que o valor de configuração `LOG FILE` seja modificado através das configurações do sistema sem restringi-lo ao diretório de log pretendido. Isso permite que um administrador defina o `LOG FILE` para um caminho arbitrário no sistema de arquivos. Como atacantes podem influenciar o conteúdo registrado, eles podem gravar dados controlados em arquivos indesejados. Isso pode levar à execução remota de código através de uma cadeia de exploração na qual um atacante injeta um template em um arquivo e abusa do comportamento de renderização da aplicação. A correção envolve a função `validate log file name()` para rejeitar caminhos absolutos, traversal, caminhos Windows, bytes nulos e componentes de diretório, centralizando a construção do caminho através de `resolve log file path()`. **Recommendations** Atualize o Flowintel para uma versão onde o `LOG FILE` seja removido das configurações editáveis via web e a validação de caminho seja implementada. Como medida de mitigação temporária, restrinja o acesso administrativo às configurações do sistema para evitar a modificação do valor de configuração `LOG FILE`.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** Ocorre Cross-Site Scripting (XSS) armazenado quando blocos Mermaid em notas de caso são renderizados sem a neutralização suficiente de marcações controladas por atacantes. Um atacante com permissões para criar ou editar notas pode armazenar um payload Mermaid manipulado que executa JavaScript no navegador de qualquer usuário que visualize a nota de caso afetada. **Recommendations** Atualize o Flowintel para uma versão onde a detecção de Mermaid e a codificação HTML sejam implementadas para o conteúdo do token e a lógica de encapsulamento seja movida para o início da inicialização da página.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** Ocorre Cross-Site Scripting (XSS) Armazenado porque os títulos de eventos do calendário são renderizados usando `innerHTML`. Como esses títulos são derivados de títulos de casos, um usuário com permissão para criar ou modificar um título de caso pode injetar conteúdo HTML ou scripts. Esse conteúdo é posteriormente executado pelo navegador quando outro usuário visualiza o calendário. O problema envolve o uso de `innerHTML` para atribuir a variável `arg.event.title`. **Recommendations** Para as versões 3.3.0 e posteriores, atualize o software para substituir o uso de `innerHTML` por `textContent` ao renderizar a variável `arg.event.title` e o ícone de download estático.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e anteriores **Description** Um problema de referência direta a objeto insegura e autorização de nível de objeto quebrada existe em múltiplos endpoints de tarefa. O sistema não verificava se uma tarefa pertencia ao identificador de caso fornecido. Consequentemente, um usuário autenticado com acesso de nível de editor a um caso poderia substituir um ID de tarefa de um caso diferente para realizar operações não autorizadas. Isso afeta endpoints relacionados a edição, exclusão, nota, atribuição, status, arquivo, exportação, vinculação MISP, subtarefa e referência externa. Adicionalmente, o sistema não verificava se um `note id` pertencia à tarefa atual durante operações de recuperação ou exportação. **Recommendations** Atualize para uma versão posterior à 3.3.0.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Descrição** Existe uma falha de autorização na API administrativa de edição de usuários. Embora o sistema impeça que administradores de organização editem usuários de outras organizações, ele não restringe a modificação de contas de administradores totais dentro de sua própria organização. Isso permite que um administrador de organização altere a senha de um administrador total, resultando em escalonamento de privilégios. O problema é corrigido através da implementação de uma verificação de limite de privilégios usando a função `is admin()` para bloquear essas modificações. **Recomendações** Atualize o Flowintel para uma versão onde a verificação de limite `is admin()` esteja implementada na API de edição de usuários para evitar que administradores de organização modifiquem contas de administradores totais.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versão 3.3.0 **Description** Uma falha de autorização existe onde o endpoint de API '/my assignment/user' está acessível a qualquer usuário de API autenticado. O endpoint utiliza o parâmetro `user id` para identificar o usuário cujas atribuições devem ser recuperadas, mas carece de controle de acesso baseado em função adequado. Isso permite que um usuário autenticado com menos privilégios acesse informações de atribuição de outros usuários ao fornecer seus respectivos identificadores. **Recommendations** Atualizar o Flowintel versão 3.3.0 para uma versão onde o endpoint '/my assignment/user' seja restrito a administradores ou administradores de organização.

**Nome do Software Vulnerável e Versões Afetadas** FlowIntel (versões afetadas não especificadas) **Description** O FlowIntel contém um problema de cross-site scripting armazenado onde múltiplos campos controlados por usuários ou administradores são renderizados dentro de elementos DOM compilados pelo Vue. Embora a filtragem HTML padrão esteja presente, ela não impede a injeção de expressões de interpolação do Vue usando delimitadores `[[ ... ]]`. Um invasor autenticado pode armazenar uma expressão Vue maliciosa em campos como títulos de casos, identificadores de tickets, informações de casos recorrentes, atributos de perfil de usuário, nomes de organizações e nomes de funções. Quando outro usuário visualiza o componente afetado, o Vue avalia a expressão, permitindo a execução de JavaScript arbitrário sob a origem do FlowIntel. Isso pode levar à exposição não autorizada de informações, ações realizadas usando a sessão da vítima ou modificação de dados do aplicativo. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** FlowIntel versões anteriores a 3.3.1 **Descrição** Um problema existe na funcionalidade de sonda de URL de referência externa em `app/case/task.py`. Um invasor pode enviar uma URL de referência externa para forçar o servidor da aplicação a emitir uma requisição HTTP HEAD para um destino especificado. Devido à validação insuficiente do esquema da URL e do endereço de destino resolvido, isso permite requisições para recursos de rede loopback, link-local, privados, reservados ou outros recursos restritos. Isso pode permitir a interação com serviços internos ou endpoints de metadados de nuvem a partir do contexto de rede do servidor. Trata-se de um server-side request forgery (SSRF), que ocorre quando um servidor é enganado para fazer requisições a um local não pretendido. **Recomendações** Atualize para uma versão posterior a 3.3.0.