Leonkaya

Existe um cross-site scripting armazenado nos manipuladores de atributos do shortcode-core. A varredura de detecção de XSS apenas identifica cargas úteis que contenham colchetes angulares literais, permitindo que os parâmetros de shortcode ignorem a validação. Usuários com a permissão `admin.pages` podem injetar JavaScript malicioso por meio de atributos de shortcode. Esse script é executado no navegador de qualquer usuário que visualize a página, incluindo administradores, permitindo o sequestro de sessão através do roubo de nonces (tokens únicos usados para evitar ataques de repetição) de administrador.

O plugin falha ao autorizar adequadamente a geração e a revogação de chaves de API. Ele intercepta as tarefas administrativas `apiKeyGenerate` e `apiKeyRevoke` antes da execução da Lista de Controle de Acesso (ACL) de gerenciamento de contas, autorizando o chamador apenas com a permissão `admin.login`, que é a permissão básica de cada usuário do painel. Isso permite que qualquer usuário com `admin.login` crie uma chave de API persistente vinculada a qualquer conta. A chave forjada herda as permissões de API da conta alvo, podendo levar à personificação de conta e escalonamento de privilégios até a tomada total de controle da conta, caso a conta alvo possua permissões mais amplas.

A execução remota de código é possível através da função `Blueprint::dynamicData()` no arquivo `system/src/Grav/Common/Data/Blueprint.php`. O problema ocorre porque uma string chamável `Class::method` e seus argumentos são passados diretamente para `call user func array()` sem uma lista de permissões. Um usuário autenticado com permissões `admin.pages` ou `api.pages.write` pode inserir uma diretiva chamável maliciosa em uma página através do plugin de formulário. Esse comando é então executado como o usuário do servidor web sempre que qualquer usuário, incluindo visitantes não autenticados, acessar a página afetada.