Ffasterss

Quando um Agente compõe interceptores de redirecionamento e cache compartilhado, uma resposta em cache revalidada com uma requisição condicional pode ser incorretamente validada por uma resposta 304 Not Modified de uma origem diferente. Isso ocorre porque o manipulador de redirecionamento remove os cabeçalhos de credenciais vinculados à origem, mas não remove os validadores `If-None-Match` ou `If-Modified-Since` gerados pelo cache. Consequentemente, o destino do redirecionamento recebe o validador da origem original, e o sistema trata a resposta 304 como uma revalidação bem-sucedida. Isso pode fazer com que um cache compartilhado forneça uma resposta autenticada, como uma protegida por um cabeçalho `Authorization`, a um chamador não autenticado.

O interceptor de redirecionamento falha ao remover cabeçalhos sensíveis—incluindo `Authorization`, `Cookie`, `Proxy-Authorization` e `Host`—quando uma requisição é redirecionada para uma origem diferente, caso os cabeçalhos da requisição sejam fornecidos como um array de tuplas de nome e valor. Nesse cenário, o manipulador de redirecionamento interpreta erroneamente as tuplas como uma lista plana, impedindo que os nomes dos cabeçalhos coincidam e permitindo que os cabeçalhos sensíveis permaneçam. Se um interceptor de normalização de cabeçalhos, como cache ou deduplicate, for composto fora do interceptor de redirecionamento, esses cabeçalhos retidos são serializados na requisição de origem cruzada, podendo expor credenciais vinculadas à origem para um destino não relacionado.

Uma falha de autorização existe na tarefa `login.invite`. Este problema permite que autores de páginas obtenham contas de superusuário ao definir um formulário de convite que concede acesso super no frontmatter da página. Um invasor não autenticado pode então enviar este formulário e registrar o endereço convidado para obter controle total do site.

Existe uma falha de bypass de autorização no endpoint de API genérico '/api/v1/flex-objects/pages'. O problema ocorre porque o sistema verifica apenas as permissões de `admin.pages` no nível do diretório e não aplica as regras de permissão no nível da página ou as permissões `api.pages.read/write` da API de Páginas. Consequentemente, usuários autenticados que não sejam superusuários e possuam permissões de `api.access` e `admin.pages` ou `admin.configuration.pages` podem ler a origem da página e o frontmatter, modificar conteúdo ou excluir páginas para as quais não têm autorização.

Um problema de controle de acesso inadequado existe na função `dynamicFlexField()` dentro de `FlexDirectory`. Isso permite que autores de páginas executem métodos arbitrários de objetos Flex usando diretivas `flex-*@` no frontmatter da página. Se um usuário com permissões de edição de página abrir a página afetada, as diretivas que chamam `setStorageKey()` e `delete()` são executadas em sua sessão, podendo levar à exclusão de páginas protegidas que nem o autor nem o editor deveriam conseguir remover.

Cockpit is a headless content management system. Instances running version 2.13.4 or earlier with API access enabled are susceptible to a SQL Injection issue in the MongoLite Aggregation Optimizer. The `/api/content/aggregate/{model}` API endpoint, when publicly accessible or reachable by untrusted users, presents a risk. An attacker with a valid read-only API key can inject arbitrary SQL through unsanitized field names in aggregation queries. This allows bypassing the ` state=1` published-content filter to access unpublished or restricted content and extract unauthorized data from the underlying SQLite content database. The `toJsonExtractRaw()` function in `lib/MongoLite/Aggregation/Optimizer.php` is the source of the issue.