Hackchang

Existe um problema de divulgação de informações onde membros de projeto com nível de acesso de leitura podem obter segredos de integração em texto simples. Isso ocorre porque a consulta tRPC `notification.rules` ignora a função `redactIntegration`. Um invasor pode utilizar a consulta `notification.rules` para recuperar dados sensíveis, incluindo tokens de bots do Slack, URLs de webhook e cabeçalhos de autorização, que podem então ser usados contra sistemas externos.

Um problema de injeção de SQL não autenticado existe na integração do banco de dados ClickHouse. Atacantes remotos podem injetar SQL através do parâmetro `projectId` do endpoint WebSocket `/live/visitors/:projectId`, que não realiza a validação de sessão e de acesso ao projeto. Isso permite o uso de UNION ou oráculos de contagem booleana para acessar eventos e perfis de outros locatários. Além disso, membros do projeto podem realizar injeções semelhantes usando os valores de timeframe `cohort.preview`.

Um problema de injeção de SQL existe onde detentores de tokens de API podem executar comandos SQL arbitrários. Ao fornecer valores manipulados para a variável `include info` no endpoint '/api/locations/list', atacantes podem inserir subconsultas que a função `getSpecificInfo()` no PlantsModel concatena na lista de colunas. Isso permite a leitura não autorizada de qualquer tabela do banco de dados, incluindo hashes de senhas de usuários.

Um problema de upload de arquivo irrestrito existe no `PlantAttachmentModel` que permite que usuários autenticados armazenem arquivos com extensões fornecidas pelo cliente no diretório `public/attachments/`. Ao utilizar o endpoint '/plants/attachments/add', invasores podem fazer o upload de arquivos HTML ou SVG para realizar cross-site scripting (XSS) armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor e servidos a outros usuários. Além disso, se o `.htaccess` não for aplicado, arquivos PHP podem ser carregados para executar código arbitrário no servidor.

Atacantes autenticados podem executar consultas SQL arbitrárias e recuperar resultados em respostas HTTP. Isso ocorre porque os endpoints de análise de trace-funnel interpolam os campos `service name` e `span name` em literais de string do ClickHouse sem a devida filtragem (escaping).

O manipulador HTTP falha ao aplicar wrappers de autorização aos endpoints de análise de trace-funnel. Isso permite que atacantes não autenticados enviem definições de funil arbitrárias para recuperar análises de rastreamento, incluindo identificadores, durações, contagens de span, topologia de serviço e atividade de erro, sem fornecer credenciais.

Existe uma falha de bypass de autenticação no middleware `validateToken()`. O problema decorre da confiança inadequada em cabeçalhos de requisição falsificáveis e de um controle de fluxo de requisição falho, que permite que a função `next()` seja chamada antes que as verificações de autenticação sejam concluídas. Especificamente, um bypass de serviço para serviço é acionado quando o cabeçalho `auth-user` é definido como `service-brother` e o cabeçalho `Host` começa com o valor retornado por `getHostName()`. Como ambos os cabeçalhos `auth-user` e `Host` são controlados pelo cliente, um invasor remoto não autenticado pode manipular esses cabeçalhos para ignorar a validação de tokens legacy, JWT ou OIDC, levando potencialmente ao acesso não autorizado, escalonamento de privilégios e movimentação lateral.