Jonah Burgess

Existe um problema onde invasores não autenticados podem realizar SQL Injection, uma técnica usada para interferir nas consultas que um aplicativo faz ao seu banco de dados. Isso ocorre devido à escape insuficiente da entrada fornecida pelo usuário e à falta de preparação adequada da consulta SQL. A falha é acionada através do parâmetro `data`. A exploração bem-sucedida permite a extração de informações sensíveis do banco de dados. Isso requer que um campo de formulário de tópico pesquisável do tipo checkbox, ou um campo de seleção/autocompletar com `isMultiChoice` habilitado, esteja registrado na configuração do fórum.

Missing authorization enforcement in RequestHandler.renderView in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to bypass the request-map authentication policy for protected views by supplying a crafted LAST VIEW NAME value, which is stored as saved-view state in the anonymous session and later rendered without re-applying the original view's authentication requirement, potentially exposing protected views and associated business data. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

A falta de autorização nos aplicativos Human Resources, Catalog e Order Manager permite que um invasor remoto não autenticado divulgue registros comerciais internos, como dados de organização, funcionários, catálogo de produtos e loja de produtos. Isso ocorre porque vários endpoints auxiliares estão configurados para ignorar a autenticação e não realizar verificações de permissão antes de retornar os registros solicitados.

O Controle Impróprio da Geração de Código permite que um invasor remoto não autenticado execute código arbitrário no servidor. O problema ocorre quando um invasor prepara um XML de widget manipulado via upload multipart e substitui o `mainDecoratorLocation` usado por uma rota de login de gerente através de uma requisição JSON anônima. Isso faz com que o sistema carregue o XML preparado através de seu mecanismo de descritor de tela ao vivo e avalie uma expressão Groovy (uma linguagem de script dinâmica para a plataforma Java) não isolada ao renderizar a página de falha de autenticação. A falha também é acessível através do endpoint não autenticado '/sfa/control/editPortalPageColumnWidth', que pode retornar a saída de comandos diretamente em uma resposta HTTP 200.

Uma autorização incorreta no simple-method `updateLayout` em `applications/content/minilang/layout/LayoutEvents.xml` permite que um atacante remoto autenticado com permissões `OFBTOOLS VIEW` e `CONTENTMGR VIEW` execute comandos arbitrários como o usuário do processo OFBiz. O problema ocorre porque a verificação de autorização valida apenas a operação `CONTENT CREATE` em vez de verificar a permissão de atualização no registro de Conteúdo específico e no `DataResource` selecionado. Um atacante pode relincar um registro de Conteúdo com propósito `RESPONSE` e converter um `DataResource` em um recurso `OFBIZ FILE`/`FTL`. Ao envenenar o log de acesso do OFBiz através de um cabeçalho `User-Agent` manipulado e acessá-lo via rota `showContent`, o atacante pode executar código remotamente.

Um problema de autorização ocorre quando a multitenancy está habilitada, permitindo que um invasor remoto autenticado com uma conta de baixo privilégio em um tenant leia e grave dados de outro tenant. O invasor pode conseguir isso fornecendo seu próprio parâmetro `userTenantId` e credenciais durante o processo de login do Party Manager ao mirar em um hostname mapeado para um tenant diferente. Isso acontece porque a função() `LoginWorker` prioriza o parâmetro de requisição `userTenantId` em vez do tenant resolvido pelo `ContextFilter` via `TenantDomainName`. Consequentemente, requisições subsequentes usam a identidade de sessão e o objeto de segurança do invasor para verificações de permissão, mas executam operações de leitura ou gravação nos dados do tenant associado ao hostname.

Incorrect authorization in RequestHandler in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to bypass the authentication requirement of a protected view by appending it as a path suffix to a public request (e.g., /catalog/control/ListLocales/showPortalPage), causing the servlet to authorize the request based on the public path component while rendering the protected suffix view. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Improper Authorization in ContentWorker in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to trigger arbitrary OFBiz service invocation with attacker-controlled parameters, resulting in arbitrary file write, arbitrary file deletion, and server-side request forgery, by requesting the public showHelpPublic view against a Content row whose serviceName field an account holding only CONTENTMGR CREATE or CONTENTMGR UPDATE has set to an attacker-chosen service, causing ContentWorker.renderContentAsText to resolve the service to invoke from that persisted, client-writable field and build its parameters directly from the live HTTP request map with no allow-list, no ownership check, and no requirement that the caller be authenticated. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Este problema envolve Cross-Site Request Forgery (CSRF), uma falha na qual um invasor engana uma vítima para realizar ações que ela não pretendia. Atacantes não autenticados podem forçar administradores a aprovar registros de usuários pendentes ou negar contas de usuários arbitrários, potencialmente bloqueando o acesso de usuários ao site. Isso ocorre porque a função `trigger bulk action()` carece de validação de nonce adequada. Um nonce é um token único usado para garantir que uma solicitação foi enviada intencionalmente pelo usuário. Um invasor pode ignorar as verificações iniciais em `trigger query actions()` fornecendo um parâmetro `new role` vazio, o que redireciona o controle para o manipulador `trigger bulk action()` desprotegido e impede a execução da validação padrão do sistema.

Existe um problema onde invasores não autenticados podem realizar Blind SQL Injection, uma técnica usada para extrair informações de um banco de dados fazendo perguntas de verdadeiro ou falso ao servidor. Isso ocorre devido à escape insuficiente do parâmetro `inputs` e à falta de preparação na consulta SQL. Invasores podem anexar consultas adicionais para extrair dados sensíveis. O nonce necessário, um token único usado para evitar falsificação de requisição cross-site, é exposto em todas as páginas públicas que renderizam um formulário, permitindo que seja facilmente obtido do código-fonte da página.

O plugin Booking Calendar para WordPress contém uma falha que permite que atacantes não autenticados extraiam dados sensíveis de clientes, como nomes, endereços de e-mail e números de telefone de pessoas que realizaram reservas. Isso ocorre por meio da função `wpbc is show popover in flex timeline()`.

A sanitização insuficiente de entrada e a falta de escape na saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre na função `wppb save avatar value()`, onde um ramo de arquivo multipart de comprimento zero grava valores de requisição brutos diretamente nos metadados do usuário, ignorando a validação realizada por `wppb save attachment id()` e `wppb verify attachment id()`. O payload armazenado é posteriormente tratado como uma URL de anexo do WordPress e renderizado sem escape pela função `wppb default fields make upload button()` quando um administrador visualiza a conta comprometida.

A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre quando scripts web arbitrários são injetados em campos personalizados do tipo texto, como `phone`, que são executados sempre que um usuário acessa a página afetada. O ataque é realizado através do endpoint AJAX `geodir save post` utilizando colchetes angulares codificados como entidades para ignorar a verificação de remoção de tags controlada por `strpos()`.

Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem assumir o controle de uma postagem de fórum de um autor convidado para modificar o título, o corpo, o nome do autor e o endereço de e-mail do proprietário armazenado. Esta exploração ocorre através da ação `wpforo post edit` e requer um cookie `comment author email` forjado. O ataque só é possível se as funções de postagem e edição de convidados estiverem habilitadas e o atacante conhecer o endereço de e-mail do autor convidado alvo.

O plugin está sujeito à exposição de informações por meio de spoofing. A função `is ai bot user()` identifica contas de bots de IA internas privilegiadas verificando o prefixo `'ai-chat-bot-'` no endereço IP armazenado de um registro de convidado. Este endereço IP é extraído diretamente do cabeçalho de requisição `X-Real-IP`, controlado pelo cliente, durante o registro de convidado não autenticado no endpoint `/guests/register`. Consequentemente, invasores não autenticados podem registrar uma identidade de convidado que o sistema reconhece como um bot de IA interno. Isso permite que eles ignorem a lista de permissões de função por sala, verificações de status de rascunho e filtros de entrada — que são ignorados pela verificação de bot nas funções `user can join()` e `user can read()` — permitindo que entrem em salas de chat restritas a administradores, postem mensagens e leiam o histórico de mensagens privadas de outros usuários.

O plugin WCFM Marketplace para WordPress está sujeito a SQL Injection, uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução. Isso ocorre porque a aplicação não escapa adequadamente o parâmetro `wcfmmp user location lng` e carece de preparação suficiente da consulta SQL. Atacantes não autenticados podem explorar isso manipulando as coordenadas de checkout para anexar consultas adicionais, permitindo a extração de dados sensíveis, como hashes de senhas do WordPress, do banco de dados.

Ocorre acesso e modificação não autorizados de dados devido à falta de verificação de propriedade no endpoint '/users/customers/<id>'. Atacantes autenticados com a função `wpamelia-provider` podem visualizar e modificar dados de clientes arbitrários, incluindo a redefinição de senhas. Isso pode levar à tomada de controle de contas de usuário do WordPress com funções de até Editor, desde que o usuário alvo tenha realizado uma reserva através do plugin. Este problema afeta especificamente a versão Premium onde o Painel do Funcionário está habilitado.

A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Reflected Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são injetados em uma página web e executados no navegador da vítima. Isso ocorre por meio do parâmetro `icn`, permitindo a execução de scripts web arbitrários se um usuário for enganado para clicar em um link malicioso.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários através do parâmetro `position button`. Esses scripts são executados sempre que um usuário acessa a página afetada.

A sanitização de entrada e a escape de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro `HTTP X FORWARDED FOR`. Um atacante pode acionar a função `wppa log()` ao falhar deliberadamente em uma verificação de nonce para a ação `getshortcodedrenderedfenodelay`, o que faz com que o valor fornecido pelo atacante seja gravado no disco. Este processo é acessível através do endpoint `wp ajax nopriv wppa`, permitindo a execução de scripts web arbitrários quando um usuário acessa uma página afetada.