De3Erve

Um Server-Side Request Forgery (SSRF) irrestrito permite que usuários autenticados forcem o servidor a enviar requisições HTTP/HTTPS arbitrárias para redes internas, serviços de localhost e endpoints de metadados de nuvem, como o AWS Instance Metadata Service (IMDS) em 169.254.169.254. Quando o recurso `Setting::UserSignup` está habilitado, usuários registrados com baixos privilégios podem explorar isso para escanear serviços internos ou roubar credenciais do Identity and Access Management (IAM) da nuvem.

Existe uma Negação de Serviço por Expressão Regular (ReDoS) não autenticada na API pública Shop GraphQL. O problema ocorre quando o filtro `StringOperators.regex` é utilizado, pois o padrão bruto é passado para uma função definida pelo usuário (UDF) do SQLite síncrona que é executada dentro do loop de eventos do Node.js. Um invasor pode fornecer um padrão de retrocesso catastrófico — como um contendo quantificadores aninhados — para bloquear o loop de eventos, tornando a vitrine e a API de administração indisponíveis. Isso afeta especificamente implantações que utilizam os drivers de banco de dados `better-sqlite3` ou `sqljs`. O resolver `ShopProductsResolver.products` é publicamente acessível, permitindo que este ataque seja disparado sem autenticação. Implantações PostgreSQL, MySQL e MariaDB não são afetadas, pois não executam esta expressão regular no loop de eventos do Node.js.

Existe um problema onde os destinos de webhook são validados apenas durante o registro e não durante o uso. A função `NoInternalUrlRule` em `backend/app/Validators/Rules/NoInternalUrlRule.php` utiliza `gethostbyname()` para rejeitar intervalos de IP privados e reservados, mas nomes de host públicos são permitidos. Durante o despacho, o `WebhookDispatchService` utiliza a URL armazenada via `spatie/laravel-webhook-server` sem revalidar o destino. Como o arquivo `backend/config/webhook-server.php` não configura as opções do Guzzle, o seguimento de redirecionamentos permanece ativado por padrão. Isso permite que um destino redirecione o servidor para um endereço de loopback, privado ou de metadados de nuvem, ou permite que um invasor altere um registro de DNS após o registro para alcançar o mesmo resultado. O `WebhookResponseHandlerService` armazena o corpo da resposta no log do webhook, que é então exposto através do endpoint `WebhookLogResource`, permitindo que o solicitante leia respostas de serviços internos. Isso afeta tanto os webhooks de eventos quanto os de organizadores.

Um problema de controle de acesso quebrado existe na função `RemoveDependency` em `routers/web/repo/issue dependency.go`. A função processa o parâmetro de formulário `removeDependencyID` para identificar e remover uma dependência de issue usando `issues model.GetIssueByID(ctx, depID)` sem realizar as verificações de repositório ou permissão necessárias. Isso permite que um invasor com acesso de escrita a issues em um repositório remova um link de dependência para uma issue em um repositório privado diferente e injete um comentário nesse repositório privado, mesmo sem ter acesso de leitura a ele. Trata-se de uma Referência Direta Insegura a Objeto (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário sem a autorização suficiente.

O endpoint de vinculação de equipe ao repositório ignora a configuração da organização `RepoAdminChangeTeamAccess`, que tem como objetivo controlar se os administradores do repositório podem alterar o acesso da equipe.