Ethansilvas

Um invasor não autenticado pode causar uma negação de serviço enviando uma solicitação para o endpoint '/api/v1/files/upload/' sem tokens ou cookies de autenticação. Ao abusar de um limite de formulário multipart muito longo, como a inclusão de uma quantidade extremamente grande de hifens, a aplicação tenta processar os dados malformados antes de realizar as verificações de autenticação ou de propriedade do fluxo. Esse processo pode tornar a aplicação inutilizável para todos os usuários por um período indefinido. O ataque não requer um UUID de fluxo válido, pois o servidor tenta processar o limite independentemente do valor fornecido.

O roteador `/api/v1/monitor` expõe sete endpoints que permitem operações de leitura, gravação e exclusão em recursos de propriedade do usuário, incluindo mensagens, sessões, artefatos de build e logs de transações de LLM. O sistema não verifica se o solicitante autenticado é o proprietário do recurso solicitado, resultando em uma Referência Direta Insegura a Objeto (IDOR), também conhecida como Broken Object Level Authorization (BOLA). Um usuário autenticado pode ler, modificar, renomear ou excluir permanentemente os dados de outro usuário ao fornecer o ID do recurso ou o `flow id` do alvo. Detalhes técnicos incluem os seguintes endpoints vulneráveis: - 'GET /api/v1/monitor/builds' e 'DELETE /api/v1/monitor/builds' utilizando a variável `flow id`. - 'DELETE /api/v1/monitor/messages' utilizando a variável `message ids`. - 'PUT /api/v1/monitor/messages/{message id}' utilizando a variável `message id`. - 'PATCH /api/v1/monitor/messages/session/{old session id}' utilizando a variável `old session id`. - 'DELETE /api/v1/monitor/messages/session/{session id}' utilizando a variável `session id`. - 'GET /api/v1/monitor/transactions' utilizando a variável `flow id`.