Kah-Ja

Existe um problema onde a aplicação armazena caminhos absolutos de arquivos SSL e SSH escolhidos por um invasor durante a criação ou atualização de conexões. Quando uma conexão é removida ou duplicada, a rotina de limpeza passa esses caminhos armazenados para a função `fs.unlink()` sem restrições de caminho. Um usuário com permissões `createOwn` e `deleteOwn` pode armazenar um caminho de arquivo alvo em uma conexão e, em seguida, excluir essa conexão para acionar a exclusão do arquivo referenciado. Se a aplicação estiver sendo executada com privilégios de root (uid 0), um invasor pode excluir arquivos críticos, como `/code/.env` ou o código-fonte da aplicação, resultando em interrupção do serviço e perda de integridade.

Em implantações do Docker Compose com SAML habilitado, a aplicação pode renderizar `SAML SIGNED ASSERTIONS` e `SAML SIGNED RESPONSES` como valores vazios. Este comportamento substitui as configurações seguras padrão e desativa as exigências de assinatura. Um invasor não autenticado pode explorar isso enviando uma resposta forjada e não assinada para o endpoint de consumo de asserção SAML usando o endereço de e-mail de um usuário existente para sequestrar a sessão desse usuário. Se uma conta de superadministrador for visada, isso pode resultar no controle total da conta. Este problema não afeta implantações padrão do Fargate ou Helm, nem permite a criação de usuários se a criação de usuários SAML estiver desativada.

A função `SQLPlugin.Call` em `vql/parsers/sql/sql.go` não aplica as verificações `FILESYSTEM READ` ou `NETWORK` antes de passar uma `connstring` controlada pelo chamador para `sql.Open`, permitindo conexões de banco de dados externas arbitrárias. Um servidor MySQL malicioso pode utilizar opções de conexão controladas por um invasor para habilitar o acesso local-infile, permitindo a solicitação de arquivos legíveis pelo processo do servidor Velociraptor, incluindo arquivos legíveis pelo root quando o processo é executado como root. Além disso, um analista de baixos privilégios com a permissão `ANY QUERY` pode ignorar a verificação `FILESYSTEM READ` usando o acessador de dados de permissão zero e o comando `ATTACH DATABASE` para criar arquivos.

Quatro auxiliares de autenticação na camada de API e socket aceitam JSON Web Tokens (JWT) de sessão assinados com `CB SECRET`, incluindo valores conhecidos, fracos ou padrões. Isso ocorre no fallback de JWT de sessão em `server/modules/verifyToken.js`, `verifyUser.js`, `getUserFromToken.js` e `socketManager.js`. Um invasor que conheça o segredo simétrico pode forjar um token HS256 para personificar qualquer ID de usuário alvo, ignorando a senha e a autenticação de dois fatores para obter o controle total da conta e exercer os privilégios do usuário em todo o aplicativo. Este problema afeta especificamente implantações padrão de fonte ou repositório Docker Compose que mantêm o `CB SECRET` padrão, bem como qualquer instalação que use um segredo conhecido ou fraco. Containers simples onde o `CB SECRET` não está definido não são afetados.

Tokens de compartilhamento e incorporação de gráficos são assinados usando a variável `CB SECRET`, que pode conter valores conhecidos ou padrão em certas instalações do Docker Compose. Isso permite que um invasor não autenticado que conheça o `CB SECRET` forje um token de assunto de gráfico para gráficos privados que tenham sido compartilhados pelo menos uma vez. O problema reside na verificação de tokens de compartilhamento de gráficos e nas rotas de acesso a filtros para gráficos privados, onde ids inteiros sequenciais são aceitos sem um link de compartilhamento legítimo. Consequentemente, um invasor pode enumerar esses ids para ler dados arbitrários de gráficos privados, como `chartData`. Os mecanismos de expiração e revogação de tokens são ineficazes se o segredo for comprometido.

Existe um problema na verificação de permissão de projeto compartilhado onde o sistema confia em um `team id` controlado pelo chamador sem verificar se o projeto alvo pertence a essa equipe. Isso ocorre em rotas de projeto e verificações de autorização que aceitam identificadores de projeto controlados pelo usuário. Um usuário autenticado com função de proprietário ou administrador em sua própria equipe pode enviar um ID de projeto da vítima junto com seu próprio `team id` no corpo da requisição. Como o caminho de atualização realiza a atribuição em massa do corpo da requisição sem uma lista de permissões de campos de projeto, o invasor pode reatribuir o projeto da vítima para sua própria equipe. Isso permite que o invasor obtenha acesso total de leitura e gravação, remova a proteção por senha, exponha o projeto publicamente ou realize a exclusão entre locatários via a rota de exclusão compartilhada.

Existe um problema na maneira como variáveis MongoDB do tipo data são manipuladas quando colocadas dentro de espaços reservados de consulta entre aspas. Essas variáveis são inseridas como strings não escapadas, ao contrário de strings, números e Booleanos, que são escapados ou coagidos com segurança. Isso afeta gráficos públicos, compartilháveis ou incorporados com suporte a MongoDB que utilizam a substituição de variáveis de data. Um usuário não autenticado pode fornecer um filtro de URL manipulado para um gráfico acessível, permitindo que o valor da data saia do literal entre aspas e altere a lógica da consulta. Isso cria um oráculo Booleano baseado na contagem de linhas retornadas, permitindo a extração de leitura de qualquer campo na coleção consultada, incluindo dados sensíveis não exibidos pelo gráfico, caractere por caractere.

O aplicativo permite acesso anônimo ao endpoint `GET /user/{username}`. Este endpoint renderiza seis campos de perfil editáveis pelo usuário—`firstname`, `lastname`, `competences`, `openarea`, `teach` e `diplomas`—sem sanitização no lado do servidor e com a função de auto-escape desativada. Um invasor com a função ROLE STUDENT, que pode ser obtida via auto-registro se habilitado, pode injetar HTML malicioso em seu próprio perfil. Este conteúdo armazenado é executado no navegador de qualquer visitante, incluindo administradores, que acessar o link do perfil público, permitindo potencialmente a tomada de conta da conta através da exfiltração de dados de sessão, JWT (JSON Web Tokens) ou dados do `localStorage`.

Um problema de SQL injection existe no endpoint '/realtime/v1/runs'. O sistema concatena o parâmetro de consulta `tags` não escapado na cláusula where do ElectricSQL shape, o que ignora a guarda de locatário `runtimeEnvironmentId`. Atacantes autenticados com uma chave de API de projeto com o escopo `read:runs` podem anexar condições booleanas para transmitir registros de TaskRun, incluindo payloads e metadados, de todas as organizações na mesma instância auto-hospedada.

Uma verificação de origem ausente na função `wm agent upgrade` permite que agentes registrados emitam comandos `upgrade custom` usando a variável `file path` controlada por um invasor. Isso permite que invasores injetem uma mensagem `upgrade custom` através do canal do agente para ler arquivos arbitrários com privilégios de root, exfiltrando potencialmente arquivos sensíveis como `/etc/shadow` e `client.keys`.

Um problema no endpoint GraphQL `/metadata` permite que a query `connectedAccounts` retorne `connectionParameters` do `ConnectedAccountDTO` para todas as contas conectadas em um workspace. Isso ocorre porque o campo não está oculto e o processo de busca não impõe a identidade do usuário solicitante ou a visibilidade da conta. Consequentemente, um membro comum do workspace pode obter senhas em texto simples de IMAP, SMTP e CalDAV de outros membros, permitindo potencialmente o acesso não autorizado a e-mails, calendários e a possibilidade de redefinir contas de terceiros. Workspaces que utilizam apenas OAuth do Google e Microsoft não são afetados.

Existe um problema onde a função `IntakeIssuePublicViewSet.create` grava `description html` através de `Issue.objects.create()` sem utilizar a função `validate html content` da biblioteca nh3. Isso permite que qualquer usuário autenticado, incluindo aqueles sem associação a workspaces, injete HTML arbitrário em projetos que possuam um DeployBoard publicado com a função de intake ativada. Quando um membro ou visualizador do projeto clica em um link plantado em um item de intake fechado, um bypass de parser no TipTap envolvendo `javascript:` e um manipulador de clique `target=" self"` executa JavaScript na sessão do visualizador para exfiltrar um token de API de longa duração.

Membros da equipe com a função de Autor podem excluir postagens e páginas que não foram criadas por eles.

A sanitização insuficiente de dados na tag HTML JSON-LD emitida pelo helper `{{ghost head}}` permite que um usuário autenticado com privilégios limitados injete conteúdo não escapado. Esse conteúdo é renderizado como um script na página publicada, o que pode levar ao comprometimento da sessão de administrador de um usuário da equipe ao visualizar a página afetada.

Existe um problema onde o player renderiza o texto de legendas no `innerHTML` sem a devida filtragem. Isso permite que um usuário com permissões de autoria de conteúdo envie um arquivo de legenda (como WebVTT ou DFXP) contendo HTML ou JavaScript malicioso. Quando um espectador ativa as legendas para o evento afetado, o script é executado na origem do Opencast na sessão do navegador do espectador. Isso afeta tanto espectadores anônimos quanto funcionários autenticados, podendo levar ao roubo de sessão, roubo de tokens CSRF e ações não autorizadas contra a API REST do Opencast. O problema é acionado quando o player processa trilhas de legendas servidas através do endpoint `/search/episode.json`. O comportamento vulnerável ocorre porque os plugins de legenda, habilitados por padrão, anexam o texto da legenda diretamente ao sumidouro ` captionsContainer.innerHTML` sem sanitização.

O endpoint `/api/download` em `packages/server/routes/api.js` manipula incorretamente o parâmetro de consulta `port`, passando-o para a função `socket.connect(port, host)` e retornando a mensagem de erro resultante como text/html sem uma Política de Segurança de Conteúdo (CSP). Isso permite que um valor refletido seja executado na origem do gerenciador quando um operador autenticado segue um link malicioso. Além disso, o cookie de token em `packages/ui/src/store/modules/query.js` carece dos atributos HttpOnly, Secure e SameSite, permitindo que um script leia o token e acione o evento `autofillform()` em `packages/server/socket.js`. Este evento retorna um JSON Web Token (JWT) decodificado, que pode conter a senha do ServerQuery em texto claro, possibilitando o sequestro de sessão do operador e o controle total do servidor TeamSpeak gerenciado caso credenciais administrativas sejam utilizadas. Uma sessão de operador válida e a interação do usuário são necessárias para a exploração.

O Chamilo LMS armazena o `Message.content` privado sem sanitização no lado do servidor e o renderiza como HTML em assets/vue/views/message/MessageShow.vue e public/main/template/default/message/view message.html.twig. Um usuário autenticado de baixo privilégio, como um aluno, pode enviar conteúdo de mensagem manipulado para um administrador. O conteúdo é executado no navegador do destinatário ao abrir a caixa de entrada ou a visualização da mensagem, o que pode expor credenciais de sessão ou permitir a execução de ações como administrador.

O recurso de download automático de imagens não valida caminhos ao processar URLs `file://` em tags `img` de uma nota. Isso permite que um usuário autenticado exponha arquivos arbitrários legíveis pelo processo ao salvar uma nota de texto com uma origem como `file:///etc/passwd`, que o sistema então armazena como um anexo da nota. Além disso, apontar para uma origem ilimitada, como `/dev/zero`, pode levar à alocação descontrolada de memória, resultando no travamento do processo do servidor. Esta funcionalidade é ativada por padrão e acessível via interface web, ETAPI, web clipper e importações de notas, exigindo uma sessão autenticada ou um token ETAPI.

Um problema de gravação arbitrária de arquivos ocorre quando o plugin sql-log está habilitado. Um usuário autenticado pode utilizar sequências de path traversal—uma técnica usada para acessar arquivos e diretórios fora da pasta pretendida—através do parâmetro `ns` no endpoint 'plugins/sql-log.php' para gravar arquivos .sql arbitrários com conteúdo controlado em qualquer diretório gravável no host.

O bloco de integração de envio de e-mail no lado do servidor permite a leitura arbitrária de arquivos locais no servidor. O problema ocorre porque o auxiliar `parseAttachments` retorna um valor fornecido como um caminho do sistema de arquivos sempre que este não começa com a URL base da aplicação, em vez de exigir uma URL http ou https. Como o transporte do Nodemailer é criado sem que `disableFileAccess` ou `disableUrlAccess` estejam ativados, um caminho absoluto do servidor especificado via variável do typebot é lido do sistema de arquivos local e entregue como anexo. Um usuário registrado pode explorar isso publicando um bot cujo bloco de envio de e-mail anexe caminhos absolutos, como `/etc/passwd` ou `/proc/self/environ`, e os envie para um endereço de e-mail sob seu controle. Isso permite a leitura de qualquer arquivo que o processo do servidor possa acessar, incluindo segredos do ambiente do processo, como a string de conexão do banco de dados e a chave de criptografia de credenciais, sem a necessidade de privilégios administrativos ou interação da vítima.