Farhan Khan

Existe um problema onde invasores não autenticados podem causar exaustão de recursos ao criar repetidamente blueprints anônimos para preencher o armazenamento do servidor. Isso é feito enviando solicitações grandes para a função `HomeController::doProcessCreateBlueprint()` com a variável `expiration` definida como 'never', o que ignora as expurgos automáticos e leva a uma negação de serviço.

Uma configuração padrão insegura em exemplos do Docker Compose permite que atacantes remotos não autenticados acessem o banco de dados MariaDB. O problema ocorre porque a variável `MYSQL ALLOW EMPTY PASSWORD` está definida como `yes` no arquivo `database.env` e o banco de dados é publicado na porta 3306. Isso permite que um atacante faça login como root sem senha para ler, modificar ou excluir contas de usuário, blueprints e todos os bancos de dados.

blueprintUE Self-Hosted Edition before 4.3.6 contains an iframe injection vulnerability that allows authenticated users to embed arbitrary third-party content by abusing the PeerTube video URL matcher in BlueprintService::findVideoProvider(). Attackers can set a blueprint video URL on an attacker-controlled host, which site.js loads in an unsandboxed iframe after consent, framing fake login forms or malware downloads.

Existe um problema em `LoginMiddleware.php` onde os contadores de falhas de login são baseados em nomes de usuário sensíveis a maiúsculas e minúsculas. Como as pesquisas no MySQL não diferenciam maiúsculas de minúsculas, invasores não autenticados podem ignorar o bloqueio por conta e realizar ataques de força bruta de senha variando a capitalização do nome de usuário.

Um problema de enumeração de contas existe no arquivo `ForgotPasswordMiddleware.php`. Atacantes não autenticados podem identificar endereços de e-mail registrados comparando os alvos de redirecionamento de redefinição de senha para e-mails enviados. Como as pesquisas malsucedidas não possuem limite de taxa, atacantes podem realizar tentativas de enumeração ilimitadas.

Existe um problema de expiração de sessão insuficiente onde a função `findUserIDWithConfirmedToken()` em `UserModel` ignora a variável `confirmed sent at`. Isso permite que invasores que obtenham um link de confirmação antigo de uma caixa de correio comprometida, backup ou e-mail encaminhado ativem contas não confirmadas e evitem a tarefa de limpeza de contas não confirmadas.