Johnatzeropath

Existe uma falha de bypass de autorização no manipulador Socket.IO `ydoc:document:join`. O manipulador realiza verificações de propriedade apenas quando a variável `document id` começa com o prefixo `note:` (dois pontos). No entanto, a camada de armazenamento `YdocManager` normaliza todos os IDs de documentos substituindo dois pontos por underscores. Um invasor pode burlar a verificação de autorização solicitando um documento usando `note <id>` (underscore) em vez de `note:<id>` (dois pontos), permitindo o acesso ao mesmo documento Yjs subjacente. Isso faz com que o servidor retorne o estado completo do documento, expondo o conteúdo de notas privadas de outros usuários.

O endpoint WebSocket `/cdp` do Browser Relay não exigia autenticação, permitindo que sites se conectassem via loopback e acessassem dados sensíveis. Atacantes podem conectar-se a `ws://127.0.0.1:18792/cdp` para roubar cookies de sessão e executar JavaScript em outras abas do navegador. Os usuários devem ter a extensão Browser Relay instalada e ativa, e devem visitar um site não confiável para que a exploração ocorra. O componente vulnerável expõe um endpoint WebSocket local para encaminhamento de mensagens do Chrome DevTools Protocol (CDP). O caminho de upgrade `/cdp` verificava se o peer TCP era loopback, mas não exigia um segredo compartilhado e não bloqueava solicitações cross-origin iniciadas pelo navegador.