Lichoin

A falta de autorização permite que usuários com privilégios de nível Contributor invoquem ações AJAX de conexão externa reservadas para usuários com permissões de `manage options`. Um invasor pode chamar a função `dt verify external connection()` fornecendo um `endpointId` e `url` específicos para transmitir credenciais de conexão armazenadas para um servidor sob seu controle. Além disso, a função `dt begin authorization()` pode ser abusada para criar conexões não autorizadas.

A falta de autorização permite que clientes não autenticados se conectem aos hubs SignalR 'PreviewHub' e 'BackofficeHub' do backoffice. Ao completar a etapa de negociação do SignalR, invasores podem receber notificações atualizadas que revelam chaves de conteúdo, incluindo conteúdo não publicado, e expõem a cronologia da atividade editorial.

Um problema de autorização ausente existe na função `ajax push()`. Isso permite que usuários com permissões de nível Contributor em um ambiente multisite publiquem postagens em outros sites da rede. Um invasor pode explorar isso usando o nonce `dt-push` junto com um id de conexão escolhido e `postStatus` para criar rascunhos ou postagens publicadas em sites aos quais não têm acesso.

Uma falha de bypass de autorização permite que administradores que não sejam o ROOT USER realizem ações de escrita ao personificar a conta protegida ROOT USER. Isso ocorre porque a flag de apenas leitura não é verificada quando um usuário faz login através do parâmetro `loginas` e envia uma requisição POST para o endpoint '/add/cron/'. Consequentemente, o serviço crond executa os comandos sob a conta de sistema do administrador protegido.

Usuários com nível de Colaborador podem instanciar objetos PHP por meio da desserialização dupla de meta de postagens distribuídas. Um invasor pode armazenar uma string PHP serializada como meta, que é processada pela função `set meta()` em includes/utils.php no site de destino. Isso permite o armazenamento de objetos definidos pelo invasor, cujo impacto depende das classes de gadget (conjuntos de fragmentos de código existentes que podem ser encadeados para executar ações não pretendidas) carregadas.

Ocorre um server-side request forgery (falsificação de requisição do lado do servidor) pré-autenticação quando o plugin de driver oficial do ClickHouse `plugins/drivers/clickhouse.php` está carregado. Um invasor não autenticado pode fornecer `auth[driver]=clickhouse` e definir a variável `auth[server]` para uma URL arbitrária. Isso faz com que o servidor envie uma requisição HTTP POST contendo 'SELECT version()' para o host especificado. Na função `rootQuery()`, se o alvo retornar um código de status HTTP fora da faixa 200-299 (exceto 401 e 403), o corpo da resposta HTTP bruta é atribuído ao erro de conexão e exibido na página de login. Isso permite o reconhecimento de portas e redes internas, bem como a divulgação de informações sensíveis, como rastreamentos de pilha (stack traces), nomes de hosts internos, caminhos de arquivos e identificadores de configuração encontrados em páginas de erro internas.

Um Server-Side Request Forgery (SSRF) de pré-autenticação existe no driver opcional do Elasticsearch localizado em `plugins/drivers/elastic.php`. O problema ocorre porque `adminer/include/auth.inc.php` chama a função `Driver::connect()` antes de validar o resultado do login. Um invasor não autenticado pode enviar parâmetros `auth[server]`, `auth[username]` e `auth[password]` manipulados para forçar o servidor a emitir uma requisição HTTP GET via `get url()` ou `file get contents()` para um host e porta alcançáveis arbitrários. O driver não bloqueia endereços de loopback, privados ou link-local e, embora rejeite portas abaixo de 1024, ele anexa a porta padrão 9200 se nenhuma for fornecida. Isso permite o reconhecimento de rede interna e a identificação de serviços, já que falhas de conexão e campos de erro JSON específicos de respostas não-2xx são exibidos na página de login. Isso requer que o driver do Elasticsearch seja explicitamente implantado e que a configuração `allow url fopen` do PHP esteja habilitada.

Um problema ocorre durante o armazenamento de conteúdo de pacotes de extensão ao utilizar coordenadas de grupo, artefato e versão de manifestos NAR carregados. O provedor de persistência de arquivos padrão utiliza essas coordenadas como componentes de caminho do sistema de arquivos sem rejeitar nomes de diretórios pai, e a verificação de contenção de caminho utiliza um caminho resolvido não normalizado. Isso permite que um usuário autenticado com permissões para gravar e excluir pacotes em um bucket carregue um NAR com um manifesto manipulado, possibilitando operações no sistema de arquivos fora do diretório de persistência de arquivos pretendido.

O problema está relacionado a um estouro de buffer na memória, que pode ser explorado para elevar privilégios. Isso pode permitir que um invasor comprometa o sistema.