Franklioxygen

Existe um problema onde a função `shouldSkipCsrfProtection()` em `backend/src/middleware/csrfConfig.ts` delega para `isApiKeyRequest()`, que concede uma isenção de Cross-Site Request Forgery (CSRF) baseada apenas na presença de um cabeçalho `x-api-key` ou de um valor `Authorization: ApiKey`, em vez de uma validação bem-sucedida da chave de API. Com uma configuração permissiva de `CORS ALLOWED ORIGINS`, um invasor não autenticado pode atrair um administrador autenticado para conteúdo controlado pelo invasor que envia uma solicitação de alteração de estado cross-origin com um valor de chave de API arbitrário. O cookie de sessão da vítima autentica a solicitação enquanto a validação do token CSRF é ignorada, permitindo operações de API administrativas destrutivas ou outras, como excluir mídia, disparar downloads ou alterar inscrições.

Quando `statisticsEnabled` e `statisticsTrackVisitorActivity` estão habilitados, um usuário com função de visitante pode enviar eventos fabricados para o endpoint de ingestão de estatísticas gerenciado pela função `ingestEvents()` em `backend/src/controllers/statisticsController.ts`. O manipulador processa `req.body.events` e aceita as variáveis `platform`, `sourceKind` e `sessionId` sem validação do lado do servidor. Isso permite que um visitante atribua eventos falsos a plataformas, fontes e sessões arbitrárias, corrompendo as contagens de visualizações, contagens de downloads, detalhamentos de plataforma, atribuição de fonte e análises de sessão visíveis para o administrador.