Komiljon Ayubov

Existe um bypass de autenticação na função `doResetPassword()`. O problema permite que a etapa de verificação de TOTP (Senha de Uso Único Baseada em Tempo) seja ignorada após a redefinição de senha. Um invasor que consiga completar o processo de redefinição, por exemplo, lendo o e-mail de redefinição da vítima, pode obter uma sessão totalmente autenticada, incluindo privilégios de Super Admin, sem o código TOTP.

Existe uma falha de bypass de 2FA que permite que atacantes com uma senha válida realizem brute-force de códigos Time-based One-Time Password (TOTP). Isso ocorre porque o contador de tentativas é reiniciado a cada novo login de senha. Um atacante pode enviar credenciais repetidamente para o endpoint 'POST /admin/login' para obter novos tokens, onde cada token permite mais 15 tentativas, possibilitando o acesso a contas protegidas por 2FA, incluindo sessões de Super Admin.

listmonk 6.2.0 before 7.0.0-beta.2 contains a missing authentication vulnerability that allows unauthenticated attackers to submit Azure Event Grid bounce webhooks when no shared secret is configured. Attackers can POST forged EmailDeliveryReportReceived events with Bounced status to /webhooks/service/azure to blocklist, unsubscribe, or delete arbitrary subscribers.

Um problema de server-side request forgery (SSRF) permite que atacantes não autenticados ignorem a política de URL de saída do MCP. Isso é feito utilizando endereços IPv6 mapeados para IPv4, nos quais os atacantes fornecem endereços normalizados em hexadecimal, como `::ffff:7f00:1`, diretamente ou via redirecionamentos. Isso permite a busca não autorizada de serviços de loopback, privados e de metadados de nuvem para ler suas respostas.

Um problema de Cross-Site Request Forgery (CSRF) existe no endpoint de login de convidado da equipe 'POST /api/guest/staff/login'. Isso ocorre porque a função `checkGuestClientAuthentication()` apenas permite `client login` e `client create`, deixando o `staff login` sem validação de CSRF ou Origin. Um invasor remoto pode usar um formulário HTML de envio automático com credenciais controladas para autenticar silenciosamente o navegador de uma vítima na conta de equipe do invasor.

Existe um problema em `builder/api.py` onde a função `assert not private url()` valida apenas o hostname inicial. Como `requests.get(url)` é chamado com o redirecionamento padrão e sem fixação de IP, uma URL pública fornecida por um invasor pode redirecionar para endereços internos ou link-local. Um invasor autenticado pode explorar o endpoint `convert to webp`, que carece de um decorador de permissão, para realizar Server-Side Request Forgery (SSRF) contra alvos internos, como serviços de metadados de nuvem, realizar varredura de portas internas ou causar uma negação de serviço por suspensão de requisição devido à ausência de um timeout.

Existe uma falha de bypass de autenticação no modo de autenticação local bypass. A função `enforce authentication()` em api service/auth/middleware.py confia no valor de `request.remote addr`, que é derivado do cabeçalho X-Forwarded-For, passível de spoofing, devido à configuração ProxyFix(x for=1) em api service/app.py. Um invasor pode simular um endereço CIDR confiável, como 127.0.0.1, através do cabeçalho X-Forwarded-For para obter uma sessão de administrador não autenticada por meio da função ` load bypass user context()`. Isso permite acesso administrativo total a endpoints como '/api/users' e '/api/jobs' sem a necessidade de credenciais.

Um problema de traversal de caminho existe que permite que atacantes remotos leiam e escrevam arquivos arbitrários no host. Isso é alcançado executando funções de sistema de arquivos do DuckDB através do editor de consultas. Um atacante pode acessar um arquivo DuckDB sem credenciais e utilizar funções como `read text()`, `read blob()`, `COPY ... TO` ou `ATTACH` para roubar a `session.key` e credenciais de banco de dados armazenadas ou sobrescrever arquivos.

Uma falha de autorização inadequada permite que atacantes remotos não autenticados realizem operações de leitura, criação, atualização e exclusão em registros de usergroup. A falha reside no arquivo `server/permission/permission.go` dentro das funções de verificação de permissão `CanRead()`, `CanPeek()`, `CanCreate()`, `CanUpdate()`, `CanDelete()` e `CanRefer()`. Essas funções retornam verdadeiro quando o `p.UserId` coincide com o `userId` solicitante, mas falham ao rejeitar referências nulas ou zero. Como as linhas da tabela usergroup não possuem um `user account id` e são carregadas com um proprietário nulo, um convidado não autenticado com um `UserId` de sessão nulo obtém acesso total de CRUD (Criação, Leitura, Atualização, Exclusão) a todos os objetos de usergroup.

Ocorre uma desreferenciação de ponteiro NULL quando o servidor falha ao validar se um ponteiro não é nulo antes do uso. Um invasor remoto não autenticado pode causar um pânico fatal que encerra o processo do servidor enviando uma única requisição HTTP para o endpoint '/api/auth/local/recover'. Este problema está localizado na função `sendOTPEmail()` no arquivo pkg/auth/local.go, onde um ponteiro é desreferenciado a partir de um caminho de erro não verificado.

Um problema de cross-site scripting (XSS) armazenado existe onde um usuário autenticado de baixo privilégio pode fazer o upload de um arquivo SVG contendo JavaScript malicioso. Isso ocorre porque a função `PutMultipart()` em `pkg/rclonefs/base.go` valida o cabeçalho `Content-Type` fornecido pelo cliente em vez de inspecionar o conteúdo real do arquivo. Um invasor pode ignorar a verificação da lista de permissões de tipo MIME renomeando um arquivo para .jpg enquanto especifica `image/svg+xml` como o cabeçalho, permitindo o armazenamento de um SVG com script na raiz da web.

Uma condição de corrida de tempo de verificação/tempo de uso (TOCTOU) ocorre no fluxo de recuperação de conta. Este problema permite que um invasor remoto não autenticado ignore o limite de tentativas de Senha de Uso Único (OTP), facilitando ataques de força bruta em códigos OTP de 6 dígitos. A função `verifyOTPSession()` em pkg/auth/local.go lê e incrementa o contador de tentativas usando operações não atômicas separadas. Isso permite que solicitações simultâneas observem a mesma contagem de tentativas abaixo do limite e ultrapassem a verificação de limite antes que a atualização seja confirmada. Uma condição de corrida TOCTOU é um erro de software onde um programa verifica o estado de um recurso e depois age sobre esse recurso, mas o estado muda entre a verificação e a ação.

Um atacante remoto não autenticado pode envenenar o cache de renderização compartilhado em todo o processo. Ao manipular o parâmetro de consulta `u` do endpoint de ilha de servidor GET '/ instatic/hole/<nodeId>', um atacante pode alimentar o quadro de modelo de rota usado para renderização. Como o resultado é armazenado em um cache compartilhado indexado apenas por `nodeId`, isso permite a injeção de uma rota manipulada, fazendo com que os visitantes subsequentes recebam conteúdo de fragmento malformado ou controlado pelo atacante.