Leediay153

Um problema de cross-site scripting armazenado existe no visualizador de e-mail causado por uma expressão regular falha na função `filterXSS()` dentro de `StringHelper`. Atacantes remotos podem enviar e-mails contendo tags maliciosas, como `svg/onload`, que são renderizadas de forma bruta pelo `MessagePanel.js`. Isso permite a execução de scripts arbitrários na sessão do destinatário quando o e-mail é aberto.

Usuários autenticados podem baixar relatórios de formulários sem as verificações de permissão adequadas. Ao solicitar o blob `business/forms/report` usando um ID de formulário específico através do endpoint 'api/download.php', um invasor pode exportar todos os envios como um arquivo XLSX, resultando na divulgação de dados não autorizados.

Um problema de leitura arbitrária de arquivos locais existe na função `actionProcessUploadQueue()` do `FolderController`. Usuários autenticados podem ler arquivos do servidor fornecendo caminhos absolutos no parâmetro `blobs`. Isso permite que invasores criem links rígidos ou copiem arquivos para suas próprias pastas para download, expondo potencialmente arquivos armazenados de outros usuários e credenciais de banco de dados localizadas no `config.php`.

Ampache before 8.4.0 contains a stored cross-site scripting vulnerability that allows users with upload rights to inject script through unescaped song lyrics in LyricsView.php getLyrics() and show lyrics.inc.php. Attackers can upload a song whose lyrics ID3 tag contains HTML and script to execute code in the browser of any user viewing the lyrics.

Um problema de cross-site scripting refletido existe onde atacantes não autenticados podem injetar scripts através do parâmetro `error` do endpoint 'view entry.php'. Isso permite que atacantes enviem links manipulados para usuários autenticados para roubar tokens CSRF (Cross-Site Request Forgery)—que são identificadores únicos usados para evitar comandos não autorizados—modificar ou excluir reservas, ou executar ações administrativas.

Usermin through 2.570 contains a cross-site scripting vulnerability in mailbox/detach.cgi that allows remote attackers to execute script by supplying an arbitrary type parameter that bypasses JavaScript filtering. Attackers can email an HTML attachment containing script and lure recipients to a detach.cgi link with type=text/html to run script in the victim's authenticated Usermin session.

Usermin through 2.570 contains a path traversal vulnerability in mailbox/detachall.cgi that allows remote unauthenticated attackers to write files outside the temporary directory via unsanitized attachment filenames. Attackers can email attachments with ../ sequences in filenames, and when the recipient downloads all attachments, files like ~/.forward are overwritten, enabling command execution.

Usermin through 2.570 contains an OS command injection vulnerability in the Read Mail module that allows authenticated users to execute commands through unsanitized IMAP folder names. Attackers can create a folder containing shell metacharacters via an external IMAP client, then delete it in Usermin to run commands as their system account, bypassing webmail-only restrictions.

Um problema de cross-site scripting armazenado existe no helper `service label`, que marca incorretamente nomes de exibição de serviço OAuth não escapados como `html safe`. Atacantes autenticados podem conectar uma conta OAuth usando um apelido, nome ou e-mail manipulado e compartilhá-lo globalmente. Isso permite a execução de JavaScript quando as vítimas anexam a conta a Agentes e os visualizam. Os impactos potenciais incluem a exposição de Credenciais, Agentes e Eventos, bem como a execução de ações administrativas se a vítima possuir privilégios de administrador.

LogChimp 0.9.0-alpha.1 before 0.9.3 contains an authorization bypass vulnerability that allows authenticated post authors to modify any other post by supplying mismatched postId and id body parameters. Attackers can set postId to their own post and id to an enumerated victim post UUID to overwrite its title, slug, content, boardId and roadmap id.

Uma falha de autorização existe na função `updateAssign()` do ProjectsController. Este problema permite que qualquer usuário autenticado reatribua projetos, mesmo sem a permissão `can-assign-new-user-to-project`. Funcionários com baixos privilégios podem explorar isso enviando requisições PATCH ou POST para o endpoint '/projects/updateassign/{external id}' usando um `user assigned id` específico para redirecionar a propriedade e as notificações do projeto.

Existe uma falha de bypass de autorização no manipulador `UpdateIssueComment`. Usuários de projeto com baixos privilégios, incluindo aqueles com a função de Project Viewer, podem modificar comentários em outros projetos. Isso é feito definindo um problema de seu próprio projeto como pai e fornecendo um UID de comentário estrangeiro para sobrescrever comentários aos quais não têm acesso autorizado.

Existe uma falha de bypass de autorização na função `ChangeUserOrganizationView.post`. Usuários autenticados podem ingressar em qualquer organização fornecendo seu UUID. Um invasor pode enviar uma requisição POST para o endpoint '/app/switch organization/' para obter acesso não autorizado aos dados e configurações de faturamento de outro locatário.

Existe uma autenticação inadequada no middleware de ingestão de eventos em Go. O sistema valida as chaves de API apenas pelo prefixo e não verifica o segredo em relação à `hashed key` armazenada. Isso permite que um invasor com conhecimento do prefixo de uma chave de API envie eventos de uso para o endpoint 'POST /api/track/', permitindo a personificação de uma organização e a manipulação de seu uso medido e faturamento.

Um problema de autorização incorreta existe nos manipuladores de `sources/state.ts`. O problema ocorre porque a função `findFirst()` é chamada sem a palavra-chave `await`, o que impede que a verificação de propriedade do `syncId` seja executada corretamente. Consequentemente, usuários autenticados que possuam o `syncId` de outro espaço de trabalho podem ler, sobrescrever ou excluir seus cursores de fluxo, levando potencialmente à omissão de dados ou à reingestão de dados.

Ocorre uma referência direta insegura a objetos na função `get object()` dentro do `SubscriptionViewSet`. O problema decorre do uso de um queryset não escopado que carece de filtragem por organização ou verificações de permissão. Consequentemente, usuários autenticados ou detentores de chaves de API de qualquer organização podem fornecer um `subscription id` pertencente a outra organização para ler, cancelar, atualizar, alterar planos ou modificar complementos, permitindo a alteração do faturamento de outro locatário.

Existe uma falha de bypass de autorização no manipulador `updateExtClient`. Esta falha permite que usuários com permissões de escopo de rede modifiquem clientes externos de outras redes. Um invasor pode enviar requisições PUT para o endpoint '/api/extclients/{network}/{clientid}' para substituir chaves públicas, desativar clientes e obter chaves privadas do WireGuard.

Usuários autenticados de organizações podem executar SQL arbitrário ao anexar instruções empilhadas a consultas de métricas personalizadas. Isso ocorre quando SQL separado por ponto e vírgula é enviado através do endpoint 'POST /app/metrics/', ignorando a validação destinada a permitir apenas a primeira instrução. Essa falha permite que invasores leiam ou modifiquem dados de todos os locatários.

Usuários autenticados de organizações podem realizar injeção de SQL ao registrar `subscription filter keys` manipulados que ignoram a validação apenas de palavras-chave. A chave maliciosa é renderizada como um identificador group-by não citado, permitindo a injeção de SQL em consultas de agregação de uso no banco de dados multi-tenant compartilhado.

Existe uma falha de autorização na API de endereços de clientes, permitindo que atacantes não autenticados gerenciem endereços de outros clientes. Atacantes que possuam o `customer id` e os UUIDs de endereço podem realizar ações não autorizadas enviando requisições POST, PATCH ou DELETE para o endpoint '/api/customers/:customer id/addresses' para adicionar, modificar ou excluir endereços de entrega salvos.