Har1Sh-K

O Asana Trigger apresenta falta de autenticação, permitindo a aceitação de um novo segredo de verificação de webhook de qualquer requisição que contenha o cabeçalho `X-Hook-Secret`. Um invasor não autenticado que conheça a URL do webhook pode substituir o segredo e enviar eventos do Asana forjados. Esses eventos passam na verificação de assinatura, permitindo que o invasor acione fluxos de trabalho com dados controlados, resultando na rejeição de entregas legítimas.

Existe um problema onde o endpoint 'GET /api/logs/{service}' permite que qualquer usuário autenticado, incluindo aqueles com a função de visualizador, baixe logs do Frigate e do nginx. Essa exposição inclui senhas de administrador geradas automaticamente e credenciais de câmera contidas em strings de consulta de requisição, o que pode levar à escalada de privilégios de visualizador para administrador.

A integração Konnected registra um endpoint HTTP 'KonnectedView' (localizado em homeassistant/components/konnected/ init .py) que está configurado para não exigir autenticação. Enquanto as solicitações de gravação (POST e PUT) são processadas pela função `update sensor()` e validam corretamente o cabeçalho `Authorization: Bearer <token>`, as solicitações de leitura (GET) são manipuladas por um método `get()` separado que não possui quaisquer verificações de autenticação. Isso permite o acesso de leitura não autenticado ao endpoint.