Fiona

NocoBase plugin-ai 2.1.0 through 2.2.41 contains an authorization bypass vulnerability in getAccessibleAIEmployee() that lets authenticated users access unassigned AI employees by overriding the role-derived filter with a supplied username. Attackers can use the dispatch-sub-agent-task tool to run ungranted AI employees with their tools and permissions, and get-ai-employee to read their prompts and tool configuration.

Atacantes autenticados podem ignorar a lista de bloqueio de palavras-chave do `SqlInjectionUtil` inserindo caracteres de nova linha em fragmentos SQL de dicionário e relatórios online. Isso permite a injeção cega baseada em booleano ou tempo—uma técnica usada para extrair dados de um banco de dados fazendo perguntas de verdadeiro/falso ou medindo tempos de resposta—através de endpoints como '/sys/dict/getDictItems'. Esta falha pode ser utilizada para extrair conteúdos sensíveis do banco de dados, incluindo hashes de senhas de administradores da tabela `sys user`.

O Xinference habilita incondicionalmente a execução de código remoto do Hugging Face durante o carregamento de modelos. Isso ocorre porque seis locais de chamada de carregador passam `trust remote code=True` como um literal ou padrão incondicional. As funções afetadas incluem `RerankModel. get tokenizer` em xinference/model/rerank/core.py, `SentenceTransformerRerankModel.load` em xinference/model/rerank/sentence transformers/core.py, `SentenceTransformerEmbeddingModel.load` em xinference/model/embedding/sentence transformers/core.py, `FlagEmbeddingModel.load` em xinference/model/embedding/flag/core.py, e tanto `PytorchModel. sanitize model config` quanto `PytorchModel. get components` em xinference/model/llm/transformers/core.py. Um usuário com acesso de lançamento de modelo pode registrar um modelo de tipo desconhecido e fornecer um caminho de modelo arbitrário. Isso aciona o processo ` auto detect type` e, subsequentemente, o `AutoTokenizer.from pretrained`, que importa e executa código Python definido no `auto map` do arquivo `tokenizer config.json` do diretório do modelo. Isso permite a execução de código fornecido por um invasor com os privilégios do processo trabalhador.

Uma injeção de entidade externa XML (XXE) ocorre quando o software processa XML por meio de um DocumentBuilderFactory não endurecido, com entidades externas e carregamento de DTD habilitados. Atacantes autenticados podem explorar isso fornecendo um payload `taskScript` manipulado para o endpoint 'doEditWorkflow'. Isso permite a falsificação de solicitação do lado do servidor (SSRF), onde o servidor é forçado a fazer solicitações HTTP externas para a infraestrutura controlada pelo atacante, e a exfiltração de arquivos locais fora de banda que sejam legíveis pelo usuário do processo TIS, como arquivos de configuração e credenciais do banco de dados Derby.

Um problema de acesso não autorizado existe devido a um segredo de assinatura JWT codificado no arquivo `application-maxkey.properties`. Isso permite que invasores não autenticados forjem tokens JSON Web Tokens (JWT) válidos—um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes—e se autentiquem como qualquer usuário. Ao utilizar o mecanismo de login com salto de senha, invasores podem assinar um token com o segredo padrão e enviá-lo ao endpoint `/sign/login/jwt/trust` para obter uma sessão de administrador autenticada, concedendo acesso a configurações de aplicativos SSO e segredos de aplicativos downstream.

O componente CloudpickleMaterializer contém uma falha que permite a execução remota de código. Um invasor com acesso de escrita a um armazenamento de artefatos compartilhado pode substituir um arquivo `artifact.pkl` armazenado por um payload cloudpickle manipulado. Este payload utiliza um método ` reduce ` malicioso para executar comandos arbitrários do sistema quando um usuário ou pipeline materializa o artefato através da chamada `cloudpickle.load()` não sanitizada em `cloudpickle materializer.py`.

Um invasor autenticado pode causar a negação de serviço ao fornecer um payload compactado via Zstandard manipulado para o auxiliar `FuryUtil.deserialize`. Ao inflar o campo `frame content size` no cabeçalho do frame e armazenar um payload Zstandard codificado em base64 com um tamanho de descompactação arbitrariamente grande em um argumento de tarefa de repetição, o invasor pode forçar a JVM a tentar uma alocação de array ilimitada. Isso resulta em um `java.lang.OutOfMemoryError` irrecuperável quando a tarefa é processada pelo pipeline de tarefas de repetição, derrubando o servidor.

Existe um problema no GlueFactory que permite a execução de scripts Groovy não isolados (unsandboxed) a partir de campos de modelo de banco de dados sem restrições de compilação ou listas de permissões (whitelisting). Atacantes podem manipular o campo de script por meio de endpoints de modelo de mensagem para executar código Groovy arbitrário e comandos do sistema operacional no servidor backend.