Devnoscope

Várias rotas de issues da API REST não verificam se um repositório está arquivado. Embora a interface web bloqueie alterações em issues e pull requests em repositórios arquivados, um usuário autorizado pode ignorar essas restrições via API para editar, fechar ou excluir issues, alterar etiquetas e prazos, gerenciar tempo rastreado e cronômetros, adicionar reações, alterar bloqueios de issues e fixar issues. Isso permite a alteração de dados que deveriam ser congelados pelo processo de arquivamento.

Um problema de escape de sandbox existe no motor de scripts de extensão do alf.io, um sistema de reserva de ingressos de código aberto. Um administrador autenticado pode executar comandos arbitrários do sistema operacional no servidor. O sistema utiliza um ambiente Rhino em sandbox para executar JavaScript restrito; no entanto, o uso de um objeto Java injetado sem proteção `returnClass` combinado com uma lista de bloqueio AST (Abstract Syntax Tree) incompleta permite que o sandbox seja evadido via reflexão de Java. Esta falha pode ser acionada através da Extensions API.

Uma falha de controle de acesso existe no registro de contêineres e no tratamento de pacotes Composer. O problema permite que invasores remotos não autenticados extraiam imagens de contêineres privadas e visualizem links de origem de pacotes Composer privados ou internos. Isso ocorre porque o sistema não aplica corretamente a flag de privacidade e carece de verificações de permissão suficientes ao renderizar ou servir metadados de origem de pacotes. Um invasor pode explorar isso consultando endpoints de pacotes Composer ou enviando solicitações anônimas padrão de pull Docker/OCI para a API do registro. Esta falha persistiu por quase quatro anos e afeta potencialmente mais de 30.000 implantações em todo o mundo, incluindo aproximadamente 4.000 sistemas de produção em grandes plataformas de nuvem. A exposição desses dados pode levar à divulgação de informações sensíveis, como código-fonte, segredos e detalhes de infraestrutura interna.