Hamed Kohi

Dify before 1.15.0 contains a server-side request forgery vulnerability that allows any authenticated console user to bypass SSRF protections and issue arbitrary HTTP requests to internal services and cloud metadata endpoints due to the Squid proxy configuration only defining source ACLs without destination deny rules and the make request() helper performing no independent destination IP validation. Attackers can use endpoints such as GET /console/api/remote-files/<url>, POST /console/api/remote-files/upload, the HTTP Request workflow node, website crawl, or document import from URL to reach internal components like the sandbox, internal APIs, and PostgreSQL, and on AWS deployments read IAM credentials from the instance metadata service, with the HTTP Request node further enabling POST, PUT, and DELETE writes to internal services relying on network isolation for authorization.

Uma injeção de SQL autenticada existe no módulo Syndromic Surveillance. Usuários com privilégios de nível Clinician podem ler e modificar conteúdos arbitrários do banco de dados ao enviar valores manipulados para o parâmetro POST `form icd codes[]` no endpoint 'syndromicsurveillance/index'. O problema permite o uso de uma cláusula IN() numérica não citada e uma instrução UNION DISTINCT SELECT com literais codificados em hex para abusar da função `extractvalue()` do MySQL para exfiltração baseada em erro de hashes de senha bcrypt. Além disso, consultas empilhadas podem ser executadas para redefinir senhas, resultando no controle total da conta administrativa.

Atacantes não autenticados podem reutilizar tokens de redefinição de senha expirados ao enviá-los diretamente para o endpoint '/reset'. Isso ocorre porque o método `SavePasswordController::handle()` utiliza `PasswordToken::findOrFail()` sem validar a expiração do token. Consequentemente, o tempo de vida do token de 24 horas, que é aplicado apenas durante a renderização do formulário, é ignorado, permitindo que um atacante altere a senha de qualquer conta e obtenha uma sessão autenticada.

A invalidação inadequada de sessão permite que invasores com um token de sessão válido mantenham acesso total à conta mesmo após a alteração da senha. Isso ocorre porque a tabela `access tokens` não é limpa durante eventos de alteração de senha. Especificamente, a função `TokensClearer::clearPasswordTokens()` remove apenas entradas da tabela `password tokens`, mantendo intactos os cookies de sessão ativos, tokens de portador de API e entradas `RememberAccessToken` de longa duração. Além disso, redefinições de senha forçadas por administradores via endpoint de atualização de usuário não conseguem revogar essas sessões ativas.

Existe um problema de spoofing de IP que permite que atacantes remotos não autenticados ignorem os controles de limitação de taxa (rate-limiting) em instâncias auto-hospedadas. Ao manipular o cabeçalho `X-Forwarded-For` por meio de uma configuração incorreta do Nginx, os atacantes podem usar a diretiva `$proxy add x forwarded for` para anexar valores arbitrários à cadeia de cabeçalhos e apresentar um endereço IP falso.

O proxy de imagem permite que atacantes autenticados desencadeiem requisições HTTP internas ao incorporar URLs controladas pelo atacante em tags de imagem BBCode. O proxy busca essas URLs sem validar os IPs de destino resolvidos contra intervalos de endereços privados, loopback ou link-local. Atacantes podem utilizar a geração automática de assinatura HMAC (Código de Autenticação de Mensagem baseado em Hash) para obter requisições de proxy assinadas e válidas direcionadas a serviços internos, como endpoints de metadados de instâncias em nuvem, aplicações web internas e serviços de rede de containers.

Existe uma falha de lógica que permite que administradores autenticados excluam todos os grupos de autorização integrados. Isso ocorre devido a uma incompatibilidade de tipo na verificação de proteção de exclusão em massa no endpoint AJAX de exclusão em massa nas visualizações de gerenciamento. O sistema compara IDs de grupo inteiros recebidos em JSON com literais de string, fazendo com que a verificação de proteção sempre seja aprovada. Esta ação destrói o modelo de permissões do fórum e pode tornar o site inutilizável.

Uma falha de bypass de autorização permite que moderadores autenticados realizem ações não autorizadas em tópicos de fóruns que não controlam. Ao enviar listas de IDs de tópicos manipuladas em uma requisição em lote, um invasor pode usar um tópico de ID baixo de um fórum permitido como âncora. Isso faz com que a verificação de permissão, aplicada apenas ao primeiro resultado, seja aprovada, permitindo a execução de ações de bloquear, desbloquear, excluir ou ocultar tópicos em fóruns não moderados.

O módulo Media oferece suporte ao oEmbed, que utiliza dois mecanismos de descoberta: `providers.json` e descoberta via URL. O código de descoberta de URL pode ser explorado para enganar o sistema, fazendo com que ele realize requisições do lado do servidor para qualquer URL arbitrária. Trata-se de um Server-Side Request Forgery (SSRF), uma falha onde um invasor pode forçar um servidor a enviar requisições para um local não pretendido.

O recurso de perguntas não listadas não aplica restrições de acesso em endpoints de API diretos. Isso permite que usuários autenticados descubram e acessem perguntas não listadas, incluindo suas respostas, comentários e histórico de revisões.

Um problema de cross-site scripting armazenado existe no campo de descrição de modelo de e-mail do módulo System and Server Status. Atacantes autenticados com baixos privilégios podem executar comandos arbitrários injetando entradas não sanitizadas no endpoint 'save tmpl.cgi', que são posteriormente renderizadas sem escape no endpoint 'list tmpls.cgi'.

Um problema de divulgação de informações existe no controlador de cron que permite que atacantes não autenticados recuperem a chave secreta de cron da aplicação. Ao acessar o controlador de cron sem autenticação, um atacante pode obter a chave secreta exposta a partir da resposta, o que permite o acionamento da execução de tarefas agendadas fora do cronograma pretendido.

Um problema de cross-site scripting refletido não autenticado existe no renderizador de visualização do editor visual. Atacantes podem executar JavaScript arbitrário manipulando o parâmetro de consulta `r` e o parâmetro POST ` component ajax`. Isso ocorre porque a função `isEditor()` não realiza a verificação de sessão, função ou token, e o manipulador de visualização injeta conteúdo bruto do corpo POST HTML sem sanitização. Atacantes podem usar um link malicioso ou um formulário enviado automaticamente para executar JavaScript controlado no contexto da origem do Vvveb.

O editor de código do administrador permite que usuários autenticados com baixos privilégios, como as funções de editor, autor, contribuidor ou site admin, executem código arbitrário. Isso é possível devido a restrições insuficientes de extensão de arquivo, permitindo que invasores escrevam um arquivo `.htaccess` malicioso para mapear extensões arbitrárias para o manipulador PHP. Subsequentemente, código PHP pode ser carregado usando essas extensões para alcançar a execução remota de código quando o arquivo é acessado via HTTP.

Um problema de divulgação de informações permite que atacantes não autenticados obtenham informações sensíveis do servidor ao disparar exceções não tratadas no módulo de redefinição de senha. Ao acessar o endpoint de redefinição de senha do administrador, um erro fatal é disparado devido à ausência de importação de um namespace. Isso expõe o caminho absoluto do arquivo do servidor, namespaces de classes internas, números de linha e trechos do código-fonte por meio do manipulador de exceções de depuração.

Um problema de credenciais codificadas existe na configuração `docker-compose-apache.yaml`. Isso permite que atacantes não autenticados acessem o contêiner phpMyAdmin integrado usando credenciais de banco de dados pré-configuradas. Ao se conectar à porta do phpMyAdmin, os atacantes podem obter acesso irrestrito de leitura e gravação a todo o banco de dados, incluindo hashes de senhas de administradores, informações de identificação pessoal de clientes e dados de pedidos, o que pode levar à invasão de contas e manipulação de dados.

Um problema existe no endpoint de salvamento de perfil de usuário administrador que permite que usuários autenticados modifiquem campos privilegiados em seu próprio perfil. Ao injetar `role id=1` nas requisições de salvamento de perfil, um invasor pode elevar seus privilégios para Super Administrador. Essa escalação habilita a funcionalidade de upload de plugins, o que pode levar à execução remota de código.

Usuários autenticados com permissões de upload e renomeação de mídia podem executar JavaScript arbitrário ao ignorar a validação do tipo MIME e renomear arquivos carregados para extensões executáveis. Isso é feito prefixando um cabeçalho GIF89a a payloads HTML/JavaScript para burlar a validação de upload e, em seguida, renomeando o arquivo para a extensão '.html'. Isso permite que scripts maliciosos sejam executados na sessão do navegador de um administrador, podendo levar à criação de contas de backdoor e ao upload de plugins maliciosos para execução remota de código.

Um problema existe na ação 'oEmbedProxy' do módulo 'editor/editor' onde o parâmetro `url` é passado diretamente para a função `getUrl()` via curl sem validação de esquema ou destino. Usuários autenticados no backend podem fornecer URLs 'file://' para ler arquivos arbitrários acessíveis pelo processo do servidor web ou URLs 'http://' direcionadas a endereços de rede interna para sondar serviços internos, com os corpos das respostas retornados ao chamador. Server-Side Request Forgery (SSRF) é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido.

O módulo de gerenciamento de arquivos na interface de usuário do backend do TYPO3 permite o upload de qualquer tipo de arquivo, com exceção daqueles que são diretamente executáveis em um contexto de servidor web. Essa falta de restrição significa que é possível fazer upload de arquivos que podem ser considerados potencialmente prejudiciais, como binários executáveis ou arquivos com extensões e tipos MIME inconsistentes. Embora tais arquivos não sejam diretamente executáveis através do servidor web, sua presença pode introduzir riscos indiretos, como serviços de terceiros sinalizando ou bloqueando o acesso ao site para usuários finais caso arquivos suspeitos sejam encontrados.