Euriconicacio

Um problema de autorização inadequada permite que administradores de realm acessem e modifiquem recursos globais ao chamar endpoints de administração que carecem de verificações de super administrador. Um invasor pode usar o endpoint '/configuration/manager' para alterar a variável global `keycloakUrl`, permitindo o redirecionamento da autenticação do console de outros realms para facilitar o phishing de credenciais. Além disso, isso permite a injeção de CSS, a substituição de tiles de mapa e a exclusão de logs.

Existe uma falha de bypass de autorização que permite que administradores de namespace escapem do confinamento do namespace. Isso ocorre porque o controlador de limpeza (cleanup controller) inicializa seu carregador de contexto com uma política nula, fazendo com que as proteções leiam um namespace vazio e não restrinjam o acesso. Um invasor pode criar uma `CleanupPolicy` de namespace contendo entradas de contexto `apiCall` ou `globalReference`. Isso permite que o invasor utilize a ServiceAccount do controlador de limpeza para ler Secrets em diferentes namespaces e modificar `validatingwebhookconfigurations`.

Um problema de traversal de caminho existe na funcionalidade serve webdav. Atacantes não autenticados podem gravar arquivos fora do diretório raiz servido enviando um componente de caminho `..` não validado. Isso é feito enviando uma requisição MKCOL /.. para plantar um nó de Sistema de Arquivos Virtual (VFS), seguida de requisições PUT, MOVE, COPY ou MKCOL para criar, sobrescrever ou excluir arquivos pertencentes a outros locatários.

Quando uma entrada de proxy é configurada para encaminhar WebSockets, o servidor encaminha solicitações de upgrade de WebSocket não-HMR (Hot Module Replacement) para o alvo do proxy sem validar os cabeçalhos Host ou Origin. Isso ignora a proteção allowedHosts. Consequentemente, uma página web maliciosa visitada por um desenvolvedor pode estabelecer uma conexão WebSocket de origem cruzada através do servidor de desenvolvimento para ler e gravar no backend proximado, mesmo que o servidor esteja vinculado ao endereço de loopback.

Uma falha de autorização existe no endpoint 'GET /1.0/operations/{uuid}'. Isso permite que clientes restritos a um projeto específico acessem detalhes de operações de outros projetos. Um invasor com um certificado restrito e um `uuid` conhecido pode recuperar informações sensíveis, incluindo linhas de comando, segredos de ambiente, segredos de websocket e tokens de inscrição de confiança.

Uma falha de autorização existe no endpoint de API 'SubDomains.delete'. Clientes autenticados podem explorar isso fornecendo um id de domínio principal para excluir domínios principais provisionados por revendedores. Isso permite que invasores ignorem as restrições da interface web para remover domínios e orfanizar registros de vhost, DNS e subdomínios. Além disso, isso pode ser usado para manipular a variável `subdomains used` para um valor abaixo de zero, concedendo permissão extra de subdomínios não autorizada.

Um problema de seguimento de link simbólico existe na função `Statistics::makeChownWithNewStats()`. Clientes autenticados podem explorar isso substituindo o diretório de estatísticas do goaccess em sua raiz de documentos por um link simbólico. Quando o cron de tráfego executado pelo root é acionado, ele dispara um comando `chown -R` que pode transferir a propriedade de diretórios arbitrários do host para o usuário, permitindo a escalação de privilégios para root.

Existe uma falha de bypass de autorização no endpoint de API 'Admins.get'. Este problema ocorre devido a uma confusão de identificadores, permitindo que revendedores acessem qualquer registro de administrador. Ao fornecer seu próprio `loginname` junto com o `id` numérico de outro administrador, um invasor pode recuperar informações sensíveis, incluindo e-mails de contato, listas de permissão de IP, limites de recursos, notas e histórico de login.

Existe um problema de autorização incorreta onde administradores delegados sem a permissão `editnews` podem modificar itens de notícias. Isso ocorre porque o endpoint "PUT /admin/api/news/update" verifica incorretamente a permissão `NEWS DELETE` em vez de `NEWS EDIT`. Usuários com as permissões `addnews` e `delnews` podem recuperar o token CSRF `update-news` de seus cookies para alterar o cabeçalho, corpo, autor, link e status ativo de qualquer item de notícia exibido na página pública.

Uma falha de autorização no painel administrativo permite que usuários autenticados sem privilégios de administrador acessem informações restritas. Ao solicitar o endpoint '/admin/index.php/', um invasor com qualquer conta ativa pode visualizar perguntas de FAQ não publicadas, URLs de edição administrativa, identidades de usuários recentes e estatísticas do site.

Uma falha de bypass de autorização permite que usuários autenticados exportem listas mesmo quando restrições de exportação estão ativas. Isso ocorre porque a verificação `groups roles export` no arquivo `modules/groups-roles/lists show.php` omite o modo `pdfl`. Consequentemente, usuários com permissões de visualização de lista podem baixar listas de membros como arquivos PDF ao solicitar o parâmetro `mode` com o valor `pdfl`.

Um controle de acesso quebrado no endpoint 'modules/inventory/inventory data.php' permite que usuários autenticados ignorem a restrição `inventory module enabled`. Um invasor com credenciais válidas pode solicitar o feed JSON do DataTables para recuperar todos os itens de inventário e nomes de guardiões, mesmo que o módulo esteja desativado.

O dispatcher Agent realiza uma clonagem profunda baseada em JSON das opções do construtor antes de encaminhá-las para os pools por origem. Como o JSON não pode representar funções, qualquer opção `tls` contendo um callback `checkServerIdentity` é silenciosamente descartada. Isso permite que um peer TLS seja aceito se passar pelas verificações padrão de hostname e cadeia, mesmo que um `checkServerIdentity` personalizado tenha sido escrito para rejeitá-lo. Este problema afeta os caminhos padrão usados por `request`, `fetch` e `setGlobalDispatcher`, bem como as rotas diretas e sem proxy do `EnvHttpProxyAgent`. Apenas aplicações que utilizam opções `tls` com valores de função para tarefas como pinning de certificado ou chave pública estão em risco.

Um problema de revogação inadequada de acesso permite que colaboradores removidos continuem a receber dados de projetos por meio de webhooks que criaram anteriormente. Isso resulta no recebimento de títulos e descrições de tarefas por ex-colaboradores, incluindo informações geradas após a revogação do acesso.

O método `Address6.isLinkLocal()` em `src/ipv6.ts` reconhece incorretamente apenas a faixa `fe80::/64` em vez da faixa completa de link-local IPv6 `fe80::/10`. Isso cria uma inconsistência onde o mesmo endereço pode ser identificado como link-local por `getType()` e `getScope()`, mas retorna `false` ao ser verificado via `isLinkLocal()`. Um invasor pode usar um endereço dentro da faixa `fe80::/10` para ignorar verificações de limite de confiança, como filtros projetados para prevenir Server-Side Request Forgery (SSRF). SSRF é um ataque no qual um endereço fornecido pelo usuário engana o servidor para fazer requisições a destinos internos que, de outra forma, seriam inacessíveis. Uma evasão bem-sucedida permite que uma requisição atinja um host no mesmo link, como uma máquina vizinha ou um roteador no próprio segmento de rede do servidor.

O front end SFTP contém uma falha de bypass de restrição de volume que permite que usuários autenticados criem, removam e tranquem caminhos arbitrários fora dos limites de volume permitidos. Isso ocorre porque os handlers ` mkdir`, ` rmdir` e ` chattr` constroem caminhos de destino usando `vfs.get()`, `vn.canonical()` e `os.path.join()` sem invocar a verificação de acesso `chk ap`. Consequentemente, invasores podem atravessar links simbólicos para sair do diretório principal de um volume e realizar operações de arquivo não autorizadas via operações SSH FXP SETSTAT em caminhos fora dos volumes autorizados para a conta.

No Windows, a função `TemplateLookup.get template()` em `mako/lookup.py` resolve URIs de template usando `posixpath`, enquanto `Template. init ()` em `mako/template.py` as valida usando `os.path` (que utiliza `ntpath`). Uma URI que inicia com um designador de unidade permite que o `ntpath` absorva segmentos de travessia antes da verificação de ponto-ponto inicial, permitindo que a resolução do `posixpath` escape do diretório de templates configurado. Isso pode levar à divulgação de arquivos legíveis pelo processo no mesmo volume. Além disso, se um arquivo alvo contiver a sintaxe de template do Mako, ele poderá ser analisado e executado como um template. Isso ocorre quando uma aplicação passa nomes de template ou caminhos de inclusão controlados por um invasor, que podem ser enviados via strings de consulta, corpos de formulário ou JSON, parâmetros de rota ou expressões de inclusão dinâmica.

Existe uma falha de bypass de autorização na função `ListArchivedWorkflows`. O problema ocorre quando o seletor de campo `metadata.namespace` utiliza o operador NotEquals, resultando na falha da aplicação de revisões de acesso com escopo de cluster. Usuários com permissões de listagem com escopo de namespace podem empregar um seletor de namespace negado para recuperar fluxos de trabalho arquivados de outros namespaces, expondo anotações, valores de parâmetros e argumentos de especificação.

o multer é um middleware de Node.js para lidar com uploads de multipart/form-data. Quando uma requisição que utiliza armazenamento em disco é abortada durante o processo de upload, as gravações de arquivos que são concluídas após a execução da limpeza de aborto não são removidas. Isso resulta em arquivos órfãos permanecendo no disco. Um atacante remoto não autenticado pode explorar isso iniciando e abortando uploads repetidamente para esgotar o espaço em disco, causando a negação de serviço.

A função de lista de negação `IsInternalIP` falha ao bloquear o endereço Azure WireServer 168.63.129.16 e o prefixo IPv6 traduzido para IPv4 RFC 2765/6145. Isso permite a falsificação de solicitação do lado do servidor (SSRF), uma técnica na qual um invasor induz um servidor a fazer solicitações para um local não pretendido. Atacantes podem fornecer nomes de host que resolvem para esses endereços no conteúdo de mensagens para acessar a API de verificação de links e o endpoint de proxy, permitindo o acesso a recursos internos.