Jaime Ramírez

Um problema de Broken Object Level Authorization (BOLA) permite que um invasor modifique ou exclua alvos pertencentes a outros projetos sem autorização. Isso pode comprometer a integridade dos escopos de testes de invasão, resultados e relatórios de segurança associados.

Ocorre uma desserialização insegura quando checkpoints de modelos pré-treinados são carregados usando a função `torch.load` com a variável `weights only` definida como `False`. Isso permite a execução de código arbitrário se um invasor fornecer um arquivo de checkpoint malicioso especialmente criado. O problema pode ser acionado durante o caminho de inicialização ou ajuste fino (fine-tuning), concedendo potencialmente ao invasor controle total sobre o sistema que executa o software.

Atacantes autenticados podem executar comandos arbitrários no host do servidor fora dos containers. Isso ocorre porque o software falha ao escapar adequadamente os nomes das chaves de variáveis de ambiente ao executar comandos Docker via SSH em servidores gerenciados, permitindo a injeção de metacaracteres de shell nessas chaves.

Existe um problema onde o endpoint de restauração em massa de ativos é restringido pela permissão `assets.edit` em vez da permissão `assets.delete`. Isso permite que usuários que possuem direitos de edição, mas não de exclusão, restaurem ativos excluídos logicamente (soft-deleted). Um invasor pode enviar identificadores de ativos para o endpoint de restauração em massa para reverter exclusões realizadas por um administrador, ignorando a separação de permissões pretendida.

O Baserow não realiza a codificação HTML do nome de exibição de um usuário ao interpolá-lo na marcação de menção de texto rico. O endpoint 'PATCH /api/user/account/' armazena o valor de `first name` literalmente. Posteriormente, o renderizador de menções em `web-frontend/modules/core/editor/mention.js` utiliza um template literal para inserir esse nome em um atributo `data-label` e no corpo do elemento sem escape. Um nome contendo aspas duplas pode fechar o atributo e a tag de abertura, permitindo que a marcação subsequente seja injetada no conteúdo do elemento. Como os componentes de campo de texto rico renderizam esse resultado através de `v-html`, qualquer célula de texto rico que mencione a conta executa o script armazenado para cada membro do espaço de trabalho que visualizar a tabela, sem a necessidade de um clique. Qualquer membro do espaço de trabalho, independentemente do nível de permissão, pode definir seu nome para enviar a carga útil, que persiste até que o nome seja alterado ou a linha de menção seja removida.

Existe um problema onde os destinos de webhook são validados apenas durante o registro e não durante o uso. A função `NoInternalUrlRule` em `backend/app/Validators/Rules/NoInternalUrlRule.php` utiliza `gethostbyname()` para rejeitar intervalos de IP privados e reservados, mas nomes de host públicos são permitidos. Durante o despacho, o `WebhookDispatchService` utiliza a URL armazenada via `spatie/laravel-webhook-server` sem revalidar o destino. Como o arquivo `backend/config/webhook-server.php` não configura as opções do Guzzle, o seguimento de redirecionamentos permanece ativado por padrão. Isso permite que um destino redirecione o servidor para um endereço de loopback, privado ou de metadados de nuvem, ou permite que um invasor altere um registro de DNS após o registro para alcançar o mesmo resultado. O `WebhookResponseHandlerService` armazena o corpo da resposta no log do webhook, que é então exposto através do endpoint `WebhookLogResource`, permitindo que o solicitante leia respostas de serviços internos. Isso afeta tanto os webhooks de eventos quanto os de organizadores.

Uma verificação de permissão inadequada no processo de edição de perfil permite que usuários com apenas permissões de perfil modifiquem campos de configuração personalizados do Liquidsoap. O endpoint 'PUT /api/station/{station id}/profile/edit' desserializa dados usando um grupo geral que inclui a propriedade `backend config`, ignorando as permissões mais rigorosas exigidas pelo endpoint de configuração dedicado. Isso permite a modificação de variáveis, incluindo `custom config top`, `custom config`, `custom config pre playlists`, `custom config pre live`, `custom config pre fade` e `custom config bottom`. Esses valores são gravados diretamente no script .liq do Liquidsoap, onde as funções integradas `process.run()` e `process.exec()` podem ser usadas para executar comandos do sistema operacional após a reinicialização do backend.

Um problema de autorização imprópria autenticada existe no despachante comum BulkActions. A autorização imprópria ocorre quando uma aplicação falha em verificar suficientemente se um usuário possui as permissões necessárias para realizar uma ação específica.

Ocorre Cross-site Scripting no renderizador de Markdown quando usuários autenticados fornecem um link Markdown contendo aspas duplas na URL. Este caractere fecha o atributo href da âncora porque o processo de sanitização não escapa as aspas, permitindo a execução de JavaScript arbitrário na origem da aplicação.