Joost Grunwald

Uma falha de autorização existe no método whitelisted `erpnext.buying.utils.get linked material requests()`. A função não realiza as verificações de permissão de documento ou empresa necessárias. Consequentemente, usuários autenticados, como usuários do portal ou aqueles sem funções atribuídas, podem fornecer códigos de itens para recuperar Solicitações de Material do tipo Compra pertencentes a outras empresas.

Um problema de controle de acesso quebrado existe no endpoint da API de Estatísticas do Mautic '/api/stats/{table}'. O sistema não aplicou as permissões para diversas tabelas internas, pois as restrições destinadas apenas a administradores não foram implementadas e tabelas sem mapeamento explícito de permissões permaneceram legíveis por padrão. Consequentemente, qualquer usuário autenticado da API, independentemente de sua função ou permissões, pode acessar dados sensíveis. Isso inclui o log de auditoria da aplicação contendo ações de usuários e detalhes de alterações que podem expor dados pessoais de contatos, endereços IP de visitantes, detalhes de geolocalização e URLs de redirecionamento rastreadas com mapeamentos de canais.

Um problema de sequestro de conta existe devido a uma condição de correspondência de conta falha. O sistema utiliza incorretamente a função `username exists($userName)` independentemente do correspondente configurado, o que permite que um nome de usuário afirmado por um provedor de identidade (IdP) corresponda a qualquer conta do WordPress existente incondicionalmente. Isso permite que invasores não autenticados façam login como qualquer usuário existente, incluindo administradores, ao afirmar um nome de usuário correspondente em uma resposta SAML manipulada.

The issue allows an attacker to brute-force all possibilities of 2FA codes, which are 6 digits long, due to the lack of rate limiting on 2FA validation attempts.