Evidentobscurity

Um problema permite que atacantes não autenticados induzam o servidor a enviar requisições HTTP ao registrar um cliente OAuth2 com um `jwks uri` não validado. Isso pode ser acionado através do endpoint de introspecção de token usando um `client assertion` não assinado, permitindo a sondagem de serviços internos e o acesso a endpoints de metadados de nuvem. Server-side request forgery é uma falha onde um servidor é enganado para fazer requisições a um local não pretendido.

Um problema de Cross-Site Scripting (XSS) armazenado existe na visualização de detalhes do contato. Campos personalizados de contato do tipo HTML são renderizados sem a sanitização da saída, permitindo que um usuário ou integração armazene um payload de script por meio da edição de contatos, da API de contatos ou de envios de formulários mapeados para o campo. Quando um administrador ou outro usuário visualiza a página de detalhes do contato afetado, o script é executado em sua sessão de navegador. Isso pode levar a ações administrativas não autorizadas, incluindo a criação de novas contas de administrador, modificação de configurações do sistema ou acesso não autorizado a dados de campanhas e contatos.

O guardião de SSRF no CMS resolve hosts usando uma função exclusiva para IPv4 e não inspeciona endereços IPv6. Consequentemente, qualquer host que careça de um registro A ignora a verificação de intervalo privado. Um usuário autenticado com privilégios de painel de administração (função `site admin` ou superior) pode explorar o proxy Editor oEmbed para buscar uma URL fornecida por um invasor no lado do servidor. Ao usar um literal IPv6 ou um domínio apenas com registro AAAA, o usuário pode ler serviços internos e metadados de nuvem, como credenciais IAM. SSRF (Server-Side Request Forgery) é uma falha onde um servidor é enganado para fazer requisições a um local não pretendido.

O sanitizador de HTML falha ao remover atributos de manipuladores de eventos quando uma tag contém um caractere de maior-que dentro de um valor de atributo entre aspas. Isso permite que um autor de conteúdo com baixos privilégios, como aqueles com a função de autor ou colaborador, armazene um payload malicioso no conteúdo de postagens ou produtos. Quando um visitante ou administrador visualiza ou pré-visualiza o conteúdo, o payload executa JavaScript no navegador, podendo levar ao sequestro de contas de administrador.

Um sanitizador de caminho central falho permite que um usuário autenticado do painel de administração com acesso de backup (como a função `site admin` ou superior) leia e exclua arquivos arbitrários no servidor. Isso pode levar à recuperação de credenciais do banco de dados em `config/db.php`, à leitura de arquivos sensíveis do host, como `/etc/passwd`, ou à exclusão de `config/db.php` para forçar o site a retornar ao modo de instalação para um controle total do sistema.

Ocorre cross-site scripting armazenado quando um usuário com privilégios de cliente faz o upload de um certificado SSL. Os métodos `add()` e `update()` da API de Certificados utilizam `openssl x509 parse()` para processar o certificado e armazenam o valor da organização emissora `issuer['O']` sem sanitização. Como o renderizador de listagem de tabelas utiliza o filtro `raw` do Twig, que desativa a auto-escapagem de HTML, o valor malicioso é executado como um script quando um administrador ou revendedor visualiza a seção de certificados SSL. Isso permite a escalação de privilégios de cliente para administrador, podendo resultar no controle total da conta. Como os administradores controlam as configurações do servidor web, DNS e PHP via um cron job executado como root, isso pode ser escalado para a execução de comandos como root no servidor.

Uma configuração padrão insegura na biblioteca permite que um invasor não autenticado realize Server-Side Request Forgery (SSRF). Quando uma aplicação valida um certificado X.509 não confiável, a função `X509::validateSignature()` lê uma URL da extensão Authority Information Access (AIA) do certificado e estabelece uma conexão com ela. Como a busca de URL está habilitada por padrão e nenhum destino é bloqueado, um invasor pode controlar o host, a porta e o caminho da conexão para acessar hosts e serviços internos, como o endereço de loopback 127.0.0.1 ou endereços de metadados de nuvem como 169.254.169.254.