Gustavo Novaro

Uma falha de autorização na API de usuário permite que um usuário com função básica acesse contas de outros usuários da mesma empresa, incluindo contas com privilégios superiores. Em versões 3.5.0 e posteriores, isso também permite a exclusão de tais contas. O problema ocorre porque os endpoints 'GET /api/user/{id}' e 'DELETE /api/user/{id}' apenas verificam a validade de um JSON Web Token através do middleware `auth:api`, sem verificar permissões, políticas ou funções específicas nas funções `UserReadController::read()` e `UserDeleteController::delete()`. Embora o acesso seja geralmente limitado por empresa, o processo de exclusão ignora a verificação de empresa se o usuário autenticado pertencer à `Company::DEFAULT COMPANY`, permitindo que um usuário básico nessa empresa exclua qualquer conta em toda a instalação. Isso pode levar à exposição de dados pessoais, como endereços de e-mail, números de telefone, endereços postais e IBANs, e a potencial remoção da última conta administrativa de uma empresa.

Ocorre Cross-Site Request Forgery (CSRF) no `OrderConfirmController` no endpoint 'GET /order/confirm/{order number}'. Este problema surge porque a declaração `Route::get` permite que ações de alteração de estado ignorem o middleware `VerifyCsrfToken`, que impõe tokens apenas em requisições POST, PUT, PATCH e DELETE. Como os cookies de sessão com `SameSite=Lax` são incluídos na navegação cross-site de nível superior, um invasor não autenticado pode enganar um usuário autenticado para clicar em um link manipulado e acionar a função `confirm()`. Isso altera o status dos pedidos de pendente para confirmado sem autorização. Além disso, como a variável `order number` utiliza inteiros sequenciais, um invasor pode enumerar e confirmar todos os pedidos existentes.

Um problema de upload de arquivo irrestrito existe no recurso de upload de fotos de produtos. Um usuário autenticado com permissão para criar produtos, como a função de Vendedor, pode executar JavaScript arbitrário na origem da aplicação. O sistema valida os arquivos com base em magic bytes (assinaturas de conteúdo) e rejeita apenas uma lista específica de extensões PHP. No entanto, a função `ProductSaveController::save()` utiliza a extensão fornecida pelo cliente ao salvar o arquivo na raiz pública da web. Consequentemente, um arquivo que contenha um cabeçalho de imagem, mas utilize uma extensão HTML, pode ser enviado para `public/asset/upload/product/` e servido como `text/html`, resultando em cross-site scripting (XSS) armazenado, onde um script malicioso é permanentemente armazenado no servidor e executado no navegador dos usuários que visualizam o arquivo.

Existe uma falha de bypass de autorização na API de fornecedores que permite que um usuário autenticado leia, modifique e reatribua registros de fornecedores de outras empresas para a sua própria. Isso é feito enviando uma requisição PUT para o endpoint '/api/supplier/{id}' e manipulando a variável `company id` no corpo da requisição.

Existe um problema no recurso de upload de logotipo da empresa onde o sistema falha em restringir o upload de tipos de arquivos perigosos. Um usuário autenticado com permissões para criar ou atualizar empresas pode fazer o upload de um documento SVG contendo um elemento de script incorporado, levando à execução de JavaScript arbitrário na origem da aplicação.

Existe uma falha de bypass de autorização na API de transações que permite que um usuário autenticado leia registros financeiros de outras empresas na mesma instância. Isso ocorre porque o sistema não implementa o escopo da empresa ou verificações de permissão ao processar as solicitações. O problema é acionado por meio de um identificador incrementado no endpoint GET '/api/transaction/{id}', afetando especificamente a variável `id`.

Existe uma falha de bypass de autorização no endpoint de salvamento de transações. Um usuário com permissões de criação de transações e contabilidade pode expor informações bancárias sensíveis de outra empresa, incluindo o nome da conta bancária, o nome do banco e os últimos quatro dígitos do cartão. Isso ocorre quando um `bank account id` ou `bank card id` pertencente a outra empresa é fornecido no endpoint POST '/transaction/save', pois o sistema persiste e renderiza os dados sem verificar a propriedade da empresa.

O componente de recursos humanos contém credenciais codificadas. Atacantes remotos não autenticados podem se autenticar como qualquer funcionário integrado através do fluxo padrão, fornecendo apenas o endereço de e-mail do funcionário. Isso ocorre porque o controlador de salvamento de funcionários utiliza a senha padrão `changeme` e o formulário de integração não possui um campo de senha.

Existe uma falha de bypass de autorização no módulo de folha de pagamento onde a consulta de listagem não é limitada à empresa do solicitante e o identificador do funcionário é validado por existência global em vez de pertencer à empresa. Isso permite que usuários autenticados com permissões de leitura de folha de pagamento visualizem detalhes salariais e bancários de funcionários de qualquer outra empresa na instância. Além disso, usuários com permissões de criação de folha de pagamento podem criar registros de pagamento atribuídos a funcionários de outras empresas.

Existe uma falha de bypass de autorização no componente de gerenciamento de produtos. Usuários autenticados podem acessar dados sensíveis, incluindo preço, custo, estoque, SKU e código de barras, pertencentes a outras empresas. Além disso, os usuários podem sequestrar produtos ao reatribuir o `company id` usando o identificador numérico do produto. Isso ocorre porque o `ProductUpdateController` não estende o `MainController`, resultando na ausência de verificações de autenticação no endpoint de leitura. Além disso, a função `ProductRepository::save()` utiliza `Product::find($data['id'])` para recuperar registros sem verificar se o produto pertence à empresa do usuário autenticado antes de atualizar a variável `company id`.

Existe uma falha de bypass de autorização no componente de gerenciamento de tickets. Usuários autenticados podem acessar, modificar ou excluir tickets pertencentes a outras empresas usando o identificador numérico do ticket. Isso ocorre porque as operações de leitura e salvamento não restringem as consultas à empresa do usuário autenticado. Além disso, o controlador de exclusão utiliza um `IlluminateHttpRequest` genérico em vez do `TicketDeleteRequest`, o que falha em impor as permissões necessárias. Isso permite que usuários leiam o conteúdo completo do ticket (título, descrição e anexos), sequestrem tickets reatribuindo a variável `company id` ou excluam tickets sem autorização.

Existe uma falha de bypass de autorização no componente de gerenciamento de contatos. Usuários autenticados podem sobrescrever dados de contatos de outras empresas ou baixar dados pessoais como um vCard ao manipular o identificador numérico do contato. Isso ocorre porque as operações de salvamento e exportação recuperam registros sem restringir a consulta à empresa associada ao usuário autenticado.

O componente de gerenciamento de permissões contém uma falha na qual o endpoint de salvamento de permissões não realiza verificações de autorização. Isso permite que qualquer usuário autenticado conceda a qualquer função, incluindo a sua própria, o conjunto completo de permissões do aplicativo enviando uma requisição POST manipulada para o endpoint, que então sincroniza as permissões enviadas com a função especificada.

Usuários autenticados com permissões para criar ou atualizar leads podem executar JavaScript arbitrário na origem da aplicação. Isso ocorre na visualização de índice de leads quando marcações HTML armazenadas no campo de nome do lead são renderizadas através da diretiva de saída não escapada do Blade e inseridas dentro de uma literal de string JavaScript em um atributo `onclick`.

O módulo de e-mail contém um problema de cross-site scripting armazenado. Um usuário remoto autenticado com baixos privilégios pode executar JavaScript arbitrário no navegador de outro usuário, incluindo administradores, ao armazenar um payload malicioso no corpo de um e-mail. Isso ocorre porque o corpo do e-mail é persistido sem sanitização e renderizado sem escape usando `{!! $email->body !!}` quando o destinatário abre a mensagem, o que pode levar ao comprometimento da sessão e à tomada de conta da conta.

Existe uma Referência Direta Insegura a Objeto (IDOR) no método `DeleteNotificationController::delete()` no endpoint `GET /notification/delete/{id}`. Esta falha permite que qualquer usuário autenticado exclua notificações pertencentes a qualquer outro usuário no sistema, independentemente de sua empresa ou permissões. O problema ocorre porque o controlador utiliza `Notification::findOrFail($id)` para recuperar registros sem validar a propriedade do `user id` ou `company id`. Como os identificadores de notificação são sequenciais, um invasor pode iterar pelos IDs para excluir sistematicamente notificações, impedindo que os usuários visualizem alertas de tickets, atribuições de tarefas e outros eventos do sistema.

Existe uma falha de bypass de autorização nos controladores da API REST Order e OrderItem. Um usuário remoto autenticado pode ler, modificar e excluir pedidos e itens de pedidos pertencentes a outras empresas (tenants) ao fornecer um `id` numérico sequencial para os seguintes endpoints: - 'GET /api/order/{id}' - 'PUT /api/order/{id}' - 'GET /api/order-item/{id}' - 'PUT /api/order-item/{id}' - 'DELETE /api/order-item/{id}' Isso ocorre porque os controladores utilizam as funções `Order::find($id)` e `Item::find($id)` para resolver registros sem restringir a busca à empresa do usuário autenticado.

Uma falha de autorização existe no `BankAccountListController` (app/Http/Controllers/Api/BankAccount/BankAccountListController.php) no endpoint GET '/api/bank-account'. Um atacante remoto autenticado com uma função de baixo privilégio, como Usuário, pode ler registros arbitrários de contas bancárias pertencentes à sua empresa. Isso ocorre porque a rota da API é protegida apenas pelo middleware `auth:api` e carece de um controle de permissão, ao contrário da rota web que impõe a verificação `can('read bank')`. O manipulador utiliza `Account::where('company id', Auth::user()->company id)->get()`, que aplica apenas o escopo da empresa sem verificar a função ou as permissões do usuário. Isso resulta na divulgação não autorizada de dados bancários sensíveis, incluindo IBAN, SWIFT/BIC e identificadores de conta.

Existe uma falha de bypass de autorização nos manipuladores de importação de Excel (CustomerImport, LeadImport e ProductImport). Um usuário remoto autenticado pode criar registros de clientes, leads e produtos dentro do tenant de outra empresa ao fazer o upload de uma planilha para o endpoint POST '/customer/import/excel/save'. O sistema mapeia a variável `company id` diretamente do arquivo enviado sem verificar se ela corresponde à empresa do usuário autenticado, permitindo que o `company id` seja controlado pelo usuário.

Existe uma falha de bypass de autorização no `CalendarDeleteEventController` (app/Http/Controllers/Calendar/CalendarDeleteEventController.php) através do endpoint GET '/calendar/event/delete/{id}'. Um atacante remoto e autenticado pode excluir eventos de calendário arbitrários pertencentes a outros usuários ao manipular o parâmetro de caminho `{id}`. Isso ocorre porque o manipulador de exclusão utiliza a função `Calendar::find($id)->delete()` sem realizar verificações de propriedade, como o escopo por `user id` ou `company id`, resultando na destruição não autorizada de dados em toda a plataforma.