Evil0Rd

Um problema de cross-site scripting armazenado existe onde usuários autenticados com permissões `post.create` ou `post.edit` podem injetar scripts por meio de conteúdo de bloco `design json` do LaraBuilder não sanitizado. Isso ocorre quando invasores salvam blocos de editor de texto, HTML, texto ou cabeçalho contendo marcação de script ou manipuladores de eventos, que são executados nas sessões de administradores ou Superadmins ao visualizar o construtor, a pré-visualização ou a página.

A flaw was found in konflux-ci. This vulnerability allows arbitrary code execution due to improper quoting of shell variables in deployment scripts. A local attacker who can supply arguments to the affected scripts could exploit this issue to trigger unintended command substitution, executing commands with the privileges of the deployment runner.

Um problema de autorização inadequada permite que usuários autenticados que possuem apenas a permissão de leitura `email template.view` enviem e-mails arbitrários. Ao gerar um token MCP, um invasor pode utilizar a ferramenta MCP send-email para especificar qualquer destinatário, assunto e corpo HTML bruto, permitindo a entrega de mensagens de phishing ou spam através do remetente do site.

Um problema de autorização incorreta existe na função `manageCoreUpgrades()` dentro de `SettingPolicy`. Isso permite que administradores que possuem a permissão `settings.edit`, mas não são Superadmins, realizem operações de atualização de núcleo reservadas para Superadmins. Ao interagir com o endpoint '/admin/settings/core-upgrades', um invasor pode executar ações de backup, download, restauração e atualização, levando potencialmente à aquisição de dumps de banco de dados contendo hashes de senhas ou restaurações e atualizações não autorizadas do site.

Scripts de automação de Integração Contínua (CI) armazenam tokens de acesso sensíveis do GitHub em texto simples no executor e não os removem após a execução. Um invasor local com acesso ao ambiente de CI pode recuperar essas credenciais para obter acesso não autorizado ao repositório, o que pode permitir a modificação do código-fonte ou de artefatos de lançamento.

Uma falha permite que um invasor com acesso de escrita ao repositório execute código arbitrário dentro do ambiente de fluxo de trabalho de Integração Contínua e Entrega Contínua (CI/CD). O problema ocorre quando comandos de shell são injetados em scripts de exportação de ambiente, fazendo com que scripts de sincronização de manifesto avaliem dinamicamente a saída de scripts não validados. Isso pode levar ao comprometimento de pipelines de CI/CD, roubo de tokens de autenticação sensíveis e credenciais de implantação, e acesso não autorizado a sistemas de produção.

Um invasor com permissão para disparar execuções de fluxo de trabalho automatizadas pode causar a divulgação de informações ao fornecer títulos de problemas manipulados para scripts de fluxo de trabalho. O script afetado incorpora títulos fornecidos pelo usuário diretamente em consultas de dados sem a sanitização adequada, permitindo a injeção de comandos de filtro maliciosos. Como resultado, informações sensíveis, como credenciais de API, chaves de implantação e notas internas retornadas de consultas ao repositório, podem ser expostas nos logs do fluxo de trabalho.

Um problema de cross site scripting remoto existe no componente Private Message Handler. O problema ocorre na função `index()` localizada no arquivo `templates/default/controllers/messages/index.tpl.php`. Um invasor pode explorar isso manipulando o argumento `nickname` para executar scripts maliciosos no navegador do usuário.

Um problema de path traversal existe no componente Image Handler, especificamente na função `files delete file()` do arquivo `system/fields/image.php`. Um invasor remoto pode explorar isso manipulando o argumento `size`, permitindo o acesso ou a exclusão de arquivos fora do diretório pretendido.

Um problema existe no Módulo de Faturamento dentro da função `validatePaypalOrder()` localizada no arquivo system/controllers/billing/actions/paypal.php. Um invasor remoto pode manipular os argumentos `bid`/`sig`, levando a uma verificação insuficiente da autenticidade dos dados.

Um problema de escalonamento de privilégios existe onde atacantes que possuem um token de API podem obter um token de sessão completo. Isso ocorre porque a função `TokenRefreshHandler` não verifica o tipo de token, permitindo que tokens de API de curta duração ou restritos por IP sejam trocados por tokens de sessão normais de 30 dias. Este processo ignora a expiração do token de API e as listas de permissões (allowlists) através do endpoint '/api/v1/tokens/refresh.json'.

Uma falha de path traversal permite que atacantes não autenticados leiam arquivos JSON ao manipular o segmento de rota `{lang}`. Em hosts Windows, atacantes podem usar sequências de barras invertidas codificadas em URL, como `..%5C`, para escapar do diretório `resources/lang` e acessar o `composer.json` ou outros arquivos JSON da aplicação. Path traversal é uma falha que permite a um atacante acessar arquivos e diretórios armazenados fora da pasta raiz da web.

O gerenciamento inadequado de privilégios permite que usuários Administradores autenticados escalem seus privilégios para Superadmin ao editar ou renomear funções. Um invasor com a permissão `role.edit` pode renomear sua própria função para Superadmin ou conceder a si mesmo permissões `user.login as`. Isso permite a invasão de contas e o acesso a funções de atualização do núcleo e instalação de módulos, o que pode levar à execução remota de código.

Usuários não autenticados podem disparar consultas DNS e chamadas de verificação pagas da AbstractAPI ao enviar endereços arbitrários para as solicitações de esqueci-senha e redefinição de senha. Isso pode levar ao esgotamento da cota de verificação, fazendo com que a validação falhe de forma aberta para todos os formulários públicos e permitindo a sondagem de resolução de domínio.

Um problema de redirecionamento aberto existe onde invasores remotos podem redirecionar usuários para sites de phishing externos. Isso ocorre quando um parâmetro `redirect url` não validado é fornecido aos endpoints `builder` e `builderEdit` do `EmailTemplateController`. Usuários logados com permissões de modelo de e-mail podem ser afetados se interagirem com links de construtor manipulados e salvarem um modelo.

Um problema de autorização incorreta permite que usuários autenticados com apenas a permissão `settings.view` acessem segredos armazenados por meio da API de configurações. Ao consultar os endpoints 'GET /api/settings' ou 'GET /api/settings/{option name}', um invasor pode recuperar senhas, tokens, credenciais de e-mail e chaves de API de provedores de IA em texto simples.

Existe uma condição de corrida (race condition) na função `RegisterController::register`. Isso permite que atacantes não autenticados ignorem o limite diário de registro por endereço IP ao enviar múltiplas solicitações de registro simultâneas. Como essas solicitações podem passar pela verificação `RegistrationGuardService::hasExceededIpLimit` antes que a função `recordRegistration` seja executada, os atacantes podem criar contas em massa, anulando os controles de anti-automação.

O software renderiza nomes de notebooks como HTML bruto na caixa de diálogo de seleção de Notas Diárias sem a devida filtragem. Isso permite a ocorrência de cross-site scripting (XSS) armazenado no renderizador Electron. Um invasor pode criar um notebook com nomes contendo cargas HTML que executam JavaScript com acesso ao Node.js quando o seletor é aberto, permitindo a execução de comandos do sistema operacional.

O controle de acesso de publicação insuficiente no endpoint 'getDynamicIcon' permite que usuários com tokens de apenas leitura acessem metadados de documentos. Ao chamar este endpoint com o parâmetro `type` definido como 8 e fornecer conteúdo manipulado, um invasor pode realizar a injeção de template para recuperar títulos de blocos, nomes, aliases e caminhos hierárquicos de documentos restritos.

Ocorre cross-site scripting armazenado porque o software falha ao escapar atributos de estilo de cabeçalho ao renderizar HTML para o dock de esboço e favoritos. Atacantes podem injetar valores de estilo maliciosos fornecendo notebooks manipulados ou chamando endpoints administrativos. Esses valores são executados no renderizador Electron, potencialmente concedendo acesso total ao sistema.