Enno Gelhaus

O Postiz não verifica se os caminhos de mídia que não estão formatados como endereços web estão localizados dentro do diretório de upload designado. Isso permite que um usuário registrado forneça um caminho de mídia manipulado que possibilita ao trabalhador de publicação ler arquivos arbitrários do disco do servidor e enviá-los como anexos para um servidor Discord externo. Além disso, duas outras rotas permitem leituras irrestritas semelhantes: uma que confirma a existência de arquivos e pode levar ao esgotamento da memória do backend, e outra que entrega o arquivo. Como o autorregistro está habilitado por padrão, um invasor pode criar uma conta para explorar esses problemas.

O Postiz utiliza um único segredo compartilhado para assinar tokens de sessão, convite e redefinição de senha sem incluir um marcador para distinguir a finalidade do token. Uma rota utilizada para atualizar as credenciais do canal de extensão do navegador assina dados fornecidos na requisição e armazena o resultado para que o usuário possa recuperá-lo. Isso permite que um usuário forje um token assinado validamente com alegações arbitrárias, que a aplicação pode aceitar como um token de sessão, um convite de organização com uma função específica, um token de redefinição de senha ou um token de provisionamento empresarial. Além disso, uma rota para a criação de convites de equipe assina campos extras do corpo da requisição usando o mesmo mecanismo falho.

O Postiz permite que usuários autenticados solicitem que o backend execute funções em canais conectados sem restringir quais funções podem ser chamadas. Isso permite que usuários acionem funções auxiliares internas que não deveriam estar acessíveis via interface web. Uma dessas funções permite a leitura de arquivos arbitrários no disco do servidor se um canal for conectado utilizando um caminho de arquivo como token, expondo potencialmente variáveis de ambiente, segredos de assinatura de sessão, endereços de banco de dados e credenciais de serviços. Além disso, outra função auxiliar pode ser utilizada para forçar o encerramento do processo do backend, causando a interrupção do serviço. Como o auto-cadastro está habilitado por padrão, essas ações podem ser realizadas por qualquer usuário recém-registrado.

Diversos endpoints retornam linhas completas do banco de dados em vez de campos específicos necessários, resultando na exposição de segredos sensíveis. O endpoint de exclusão de canal retorna a linha de integração excluída, que inclui o token de acesso e o token de atualização da plataforma, permitindo que um aplicativo OAuth de terceiros obtenha credenciais de plataformas sociais. Além disso, o endpoint `GET /user/organizations` retorna a linha da organização, incluindo a chave de API, para todos os membros, permitindo que usuários com funções inferiores obtenham a chave destinada a administradores e façam chamadas à API pública em nome da organização. O acesso a esses endpoints requer uma sessão válida, chave de API ou token OAuth e é restrito à própria organização do solicitante.

O Postiz utiliza `Math.random()` em vez de uma fonte criptograficamente segura para gerar credenciais sensíveis. Isso afeta tokens de acesso OAuth, códigos de autorização, segredos de cliente, chaves de API de organização e verificadores PKCE, que dependem do estado determinístico do PRNG (Gerador de Números Pseudo-Aleatórios) xorshift128+ do motor V8. Um invasor não autenticado pode usar um endpoint de registro dinâmico de cliente para obter saídas consecutivas do PRNG e reconstruir o estado interno. Isso permite que o invasor derive deterministicamente valores passados e futuros, comprometendo potencialmente as credenciais de outros usuários e organizações.

Um endpoint HTTP utilizado para o provisionamento de organizações empresariais e de revendedores está acessível sem sessão, pois o middleware de autenticação não inclui o controlador empresarial em sua lista de controladores protegidos. O endpoint verifica apenas se o corpo da requisição contém um token assinado com o segredo da instância, mas não valida o propósito, a audiência ou a expiração do token. Consequentemente, um token de sessão de usuário comum pode ser utilizado para ignorar a autenticação. A exploração bem-sucedida permite que um invasor crie uma nova organização com o nível de assinatura mais alto, sinalizada como vitalícia e com uma permissão de canais superior a qualquer plano vendido, além de criar uma conta de proprietário da organização e obter uma chave de API válida para a API pública.

Um invasor remoto não autenticado pode realizar a leitura arbitrária de arquivos explorando um problema de traversal de caminho na rota que serve mídias armazenadas localmente. A aplicação junta segmentos de caminho fornecidos via URL ao diretório de upload e transmite o arquivo sem normalizar o caminho ou confiná-lo ao diretório. Embora segmentos de ponto brutos sejam colapsados antes do roteamento, separadores codificados em URL sobrevivem à correspondência de rota e são decodificados no manipulador, permitindo a travessia durante a chamada do sistema de arquivos. Isso permite o acesso a qualquer arquivo legível pelo processo da aplicação, incluindo o ambiente do processo, que expõe a string de conexão do banco de dados, segredos de faturamento e provedores conectados, e o segredo de assinatura JWT (JSON Web Token). Como os tokens de sessão são assinados com esse segredo e não possuem data de expiração, um invasor pode forjar uma sessão sem expiração para qualquer usuário, incluindo administradores, sem a necessidade de senha. O endpoint afetado é '/uploads'.

Uma falha no subsistema de faturamento e ativação de licenças permite que atacantes remotos não autenticados ignorem os fluxos de autorização de pagamento. O problema decorre de validação criptográfica insuficiente ou falta de verificação de estado no lado do servidor em relação a códigos de resgate promocionais e de oferta vitalícia (LTD). Isso permite que atacantes forjem tokens de resgate válidos ou reutilizem códigos de uso único para ativar assinaturas pagas de nível mais alto permanentemente, sem a realização de uma transação financeira.