Kocaemre

Existe um problema onde campos de ordenação controlados pelo usuário e caminhos de atributo `filter aliases` são interpolados diretamente em posições de identificador e expressão AQL do ArangoDB em `core/database arango.py`. Um usuário autenticado com baixos privilégios pode explorar isso enviando valores manipulados para os seguintes endpoints de API: - '/api/v2/observables/search' - '/api/v2/entities/search' - '/api/v2/indicators/search' - '/api/v2/dfiq/search' - '/api/v2/search/' - '/api/v2/graph/search' Isso permite que subexpressões AQL controladas pelo invasor sejam analisadas e avaliadas, o que pode levar ao uso de um oráculo de erro, avaliação de expressões em coleções internas como usuários, alteração da lógica de pesquisa, enumeração de informações de esquema e consumo excessivo de recursos do banco de dados. O problema está limitado a contextos de leitura e pesquisa, portanto, gravações arbitrárias no banco de dados não são possíveis.

Um usuário autenticado com baixos privilégios pode explorar um problema de traversal de caminho ao importar um objeto DFIQ com um `uuid` contendo sequências de traversal através do endpoint 'POST /api/v2/dfiq/from yaml'. O sistema subsequentemente interpola esse valor armazenado em um caminho de sistema de arquivos de arquivo através do endpoint 'POST /api/v2/dfiq/to archive'. Isso permite que um invasor escreva conteúdo controlado com um sufixo .yaml fora do diretório de arquivo temporário pretendido, limitado aos caminhos graváveis pela conta de serviço YETI.

Existe um problema onde o software deriva `ExportTask.file name` de um nome de tarefa controlado pelo usuário e o passa para `core/clients/file storage/classes/local storage.py` sem sanitizar sequências de travessia ou impor confinamento de caminho. Um usuário autenticado de baixo privilégio que utilize o backend de armazenamento local padrão pode explorar isso através do endpoint 'POST /api/v2/tasks/export/new' fornecendo um nome de travessia. Subsequentemente, o usuário pode ler arquivos acessíveis à conta de serviço através do endpoint 'GET /api/v2/tasks/export/{export id}/content'. Além disso, a execução da função `ExportTask.run()` permite a gravação de saída de exportação controlada pelo invasor em um caminho gravável selecionado. O impacto geral é determinado pelas permissões de sistema de arquivos da conta de serviço.

A falta de autorização em `GatewayServiceResource` permite que usuários autenticados sem função administrativa gerenciem túneis de gateway. Ao enviar solicitações POST ou DELETE para o endpoint de túnel de gateway, um invasor pode estabelecer circuitos TCP bidirecionais persistentes na rede de um gateway de borda ou encerrar túneis de operador existentes.

Um usuário autenticado com permissões para gerenciar grupos e solicitar relatórios pode criar uma hierarquia cíclica de grupo-pai. Quando um relatório de viagens ou paradas é solicitado para um dispositivo dentro dessa hierarquia, o `org.traccar.api.resource.GroupResource` permite o ciclo, e a função `org.traccar.helper.model.AttributeUtil.lookup()` segue os pais do grupo sem detecção de ciclo, conjunto de visitados ou limite de profundidade. Esse processo, acessado via `TripsConfig.` e `ReportUtils.slowTripsAndStops`, resulta em uma busca baseada em armazenamento que nunca termina, consumindo alta CPU em um worker do Jetty e podendo esgotar o pool de workers da web/API se as solicitações forem repetidas.

Um gerente de registro malicioso ou um ataque de man-in-the-middle pode causar a negação de serviço ao travar um agente Wazuh durante o processo de registro. Isso ocorre quando o gerente retorna uma resposta de chave malformada contendo menos de quatro campos, levando a uma desreferência de ponteiro NULL. A rotina `w enrollment process agent key()` divide a chave em quatro campos separados por espaço, mas não verifica a presença deles antes da validação. Especificamente, a função `OS StrBreak()` deixa as entradas finais ausentes como NULL, e a função `OS IsValidName()` subsequentemente chama `strlen()` no argumento NULL, encerrando o processo do agente. Isso é possível quando o registro é permitido em um gerente não verificado devido à ausência de um certificado CA configurado.

Ocorre uma desreferenciação de ponteiro nulo no tratamento de DataValue do FlatBuffer em `inventory sync`. Um agente registrado pode causar a negação de serviço ao enviar uma mensagem DataValue válida para o verificador que omita o campo opcional `id`. Isso faz com que o processo `wazuh-modulesd` trave ao tentar desreferenciar `data->id()->string view()` sem a validação de nulo.

Uma falha na lógica do divisor de permissões não consegue dividir ou rejeitar conservadoramente certas construções do shell Bash que criam limites de execução de comandos ou execução aninhada. Esta validação e análise incorretas de entrada da sintaxe do shell permitem que um prefixo permitido, como 'git', mascare um comando adicional. Consequentemente, a função `rtk rewrite` retorna o código de saída 0, levando o hook do Claude a emitir uma permissionDecision de "allow". Isso permite que o comando oculto seja executado sem a confirmação ou negação do usuário pretendida pelas regras de permissão, podendo levar à execução de comandos não autorizados no contexto do usuário.

Um usuário autenticado e sem permissão de apenas leitura pode explorar uma falha ao enviar solicitações para o endpoint 'DELETE /api/permissions'. A função `Permission(LinkedHashMap<String, Long>)` em `src/main/java/org/traccar/model/Permission.java` valida apenas as duas primeiras chaves do JSON fornecido, enquanto a função `DatabaseStorage.removePermission()` em `src/main/java/org/traccar/storage/DatabaseStorage.java` concatena todas as chaves do mapa na cláusula SQL WHERE como identificadores de coluna. Isso permite que um invasor injete SQL controlado por meio de uma chave JSON extra, criando um oráculo booleano cego ou de erro. Isso pode ser usado para extrair valores sensíveis do banco de dados, como e-mails de administradores, hashes de senha e salts, ou para excluir condicionalmente linhas de permissão.