Iltosec

Um problema de server-side request forgery (SSRF) existe no recurso de teste de webhook. Isso permite que usuários super-administradores sondem endereços de rede interna, incluindo loopback e intervalos RFC1918 (espaços de endereços IP privados). Ao direcionar webhooks para hosts e portas internas e comparar as respostas 4xx versus 5xx da funcionalidade de Teste de Webhooks, um invasor pode mapear hosts ativos e portas abertas.

Um usuário autenticado com privilégios de Técnico ou superior que tenha acesso a pelo menos uma fatura de cliente pode realizar a injeção de SQL. O problema ocorre no endpoint 'agent/post/recurring invoice.php' através do parâmetro `frequency`. Embora o `recurring invoice frequency` seja processado por `sanitizeInput()`, ele é interpolado sem aspas em uma função DATE ADD, permitindo que a sintaxe SQL escape da expressão de intervalo. Isso permite que um invasor atribua colunas INSERT adicionais e armazene resultados de subconsultas em `recurring invoice note`, que são então expostos através do endpoint 'agent/recurring invoice.php'. Além disso, o `recurring invoice frequency` persistido pode desencadear uma injeção de segunda ordem quando utilizado em uma operação UPDATE subsequente por outro usuário. Isso pode levar à exposição de hashes de senhas, credenciais SMTP, registros de usuários e metadados do banco de dados, bem como a modificação de campos do banco de dados e a potencial tomada de controle administrativo.

Um usuário com permissões `users.edit` e de API pode escalar seus privilégios enviando uma requisição PATCH para o endpoint '/api/v1/users/{their own id}'. Isso permite que o usuário conceda a si mesmo várias permissões, como `assets.view`, `assets.create`, `reports.view` e capacidades de importação, embora não possa conceder a si mesmo status de administrador ou superusuário.

Um usuário autenticado com permissão de escrita `module support` e acesso a um registro de credencial pode realizar uma injeção de SQL cega baseada em tempo. Isso ocorre porque o parâmetro `expires` do manipulador `share generate link` no endpoint `agent/ajax.php` é inserido sem aspas na expressão MySQL INTERVAL `item expire at`. Embora a função `sanitizeInput()` aplique escape de contexto de string, a ausência de aspas permite que uma expressão manipulada e uma unidade de intervalo executem consultas condicionais ao banco de dados, cujos resultados são inferidos pelos atrasos na resposta. Isso pode expor hashes de senhas, credenciais SMTP, chaves de API, dados de cofre criptografados e metadados do banco de dados, permitindo a tomada de controle administrativo após a quebra de credenciais.