Lighthousekeeper1212

Uma falha de autorização existe na função `updateAssign()` do ProjectsController. Este problema permite que qualquer usuário autenticado reatribua projetos, mesmo sem a permissão `can-assign-new-user-to-project`. Funcionários com baixos privilégios podem explorar isso enviando requisições PATCH ou POST para o endpoint '/projects/updateassign/{external id}' usando um `user assigned id` específico para redirecionar a propriedade e as notificações do projeto.

Ocorre uma referência direta insegura a objetos na função `get object()` dentro do `SubscriptionViewSet`. O problema decorre do uso de um queryset não escopado que carece de filtragem por organização ou verificações de permissão. Consequentemente, usuários autenticados ou detentores de chaves de API de qualquer organização podem fornecer um `subscription id` pertencente a outra organização para ler, cancelar, atualizar, alterar planos ou modificar complementos, permitindo a alteração do faturamento de outro locatário.

Existe uma falha de bypass de autorização no manipulador `UpdateIssueComment`. Usuários de projeto com baixos privilégios, incluindo aqueles com a função de Project Viewer, podem modificar comentários em outros projetos. Isso é feito definindo um problema de seu próprio projeto como pai e fornecendo um UID de comentário estrangeiro para sobrescrever comentários aos quais não têm acesso autorizado.

Um problema de injeção de SQL existe no arquivo `mem0/vector stores/databricks.py`. Atacantes podem executar comandos SQL arbitrários no Databricks SQL warehouse configurado ao fornecer texto de memória, metadados ou nomes de mensagens manipulados. Essas entradas atingem a interpolação de string não escapada dentro das funções `insert()` e `update()`, permitindo a injeção de comandos SQL maliciosos.

Existe uma falha de bypass de autorização no manipulador `updateExtClient`. Esta falha permite que usuários com permissões de escopo de rede modifiquem clientes externos de outras redes. Um invasor pode enviar requisições PUT para o endpoint '/api/extclients/{network}/{clientid}' para substituir chaves públicas, desativar clientes e obter chaves privadas do WireGuard.

Uma falha de bypass de autorização permite que usuários autenticados acessem execuções de tarefas de outros projetos fornecendo um UID. Usuários com permissões em um projeto podem fornecer UIDs de tarefas ou execuções de tarefas estrangeiras para ler logs de execução, detalhes de sessão de banco de dados e SQL de rollback de outros projetos através das funções `GetTaskRunLog()`, `GetTaskRunSession()` e `PreviewTaskRunRollback()`.

Um problema de autorização incorreta existe nos manipuladores de `sources/state.ts`. O problema ocorre porque a função `findFirst()` é chamada sem a palavra-chave `await`, o que impede que a verificação de propriedade do `syncId` seja executada corretamente. Consequentemente, usuários autenticados que possuam o `syncId` de outro espaço de trabalho podem ler, sobrescrever ou excluir seus cursores de fluxo, levando potencialmente à omissão de dados ou à reingestão de dados.

Uma falha de autorização ausente permite que usuários com privilégios `access dashboard` criem contas de administrador e concedam permissões. Isso é feito chamando diretamente as funções `CreateTeamMember::store()` ou `Permissions::togglePermission()` através do endpoint `/livewire/update`, resultando na escalação de privilégios para administrador total.

A falta de autorização em manipuladores AJAX legados localizados em public/main/inc/ajax/ permite que usuários não autenticados ou com baixos privilégios coletem nomes de usuários e PDFs de certificados de outros alunos. Isso é feito através da chamada das funções `get users by group course()`, `user by all roles()` e `export all certificates()`.

Existe uma falha de bypass de autorização na função `isOpenMethod()` de `commonModel`. Este problema permite que usuários autenticados ignorem as verificações de Lista de Controle de Acesso (ACL) baseadas em grupo para qualquer método que contenha a string 'ajax'. Consequentemente, usuários com privilégios mínimos podem executar métodos como `task.ajaxGetByID`, `system.ajaxDBAuthUrl` e `admin.ajaxChangeTableEngine` para ler dados sensíveis, obter credenciais de banco de dados, disparar jobs de Integração Contínua (CI) e alterar tabelas do banco de dados.

Uma falha de autorização existe na função `openAnswerGrade()` dentro do `AiController`. Este problema permite que qualquer usuário autenticado acesse a correção por IA de tentativas de exame de outros alunos. Ao enumerar as variáveis `exeId` e `questionId` enviadas para o endpoint 'open answer grade', um invasor pode expor as respostas de outros alunos por meio de feedback e esgotar a cota de IA.

A ausência de controle de acesso no `GradebookController` permite que usuários não autenticados modifiquem certificados do livro de notas. Um invasor pode adulterar a configuração do certificado de qualquer curso solicitando o endpoint 'set default certificate' usando qualquer `course id` e `document id`.

Uma falha de autorização existe no endpoint 'ajax/testEmailSettings.php'. Este problema permite que qualquer usuário autenticado, incluindo aqueles com permissões de apenas leitura, envie e-mails através do relay SMTP configurado. Ao manipular os parâmetros `testEmailAddress` e `fromAddress`, um invasor pode enviar uma mensagem de teste predefinida para qualquer destinatário, falsificando o endereço do remetente.

A falta de autorização nos endpoints 'ajax/deleteActivity.php' e 'ajax/editActivity.php' permite que usuários com nível de permissão READ editem ou excluam entradas de atividade. Atacantes autenticados podem fornecer um `activityID` arbitrário via GET ou POST para modificar ou excluir o histórico de atividades e de pipeline de candidatos, contatos e empresas.

Usuários autenticados podem acessar dados de projetos de outros usuários devido à falta de autorização. Ao conhecer o UUID de um projeto, um invasor pode consultar o endpoint '/trpc' usando os procedimentos tRPC `publishedBuilds` e `findManyByIds` para recuperar informações como histórico de publicação, títulos, domínios, imagens de visualização e as builds mais recentes.

Uma referência direta a objeto insegura permite que usuários autenticados modifiquem ou excluam comentários de outros usuários. Isso ocorre porque as funções `update()` e `destroy()` no `CommentsController` utilizam um método `Comment.find` não escopado que carece de verificações de autorização adequadas. Um invasor pode explorar isso enviando solicitações PUT ou DELETE para o endpoint '/comments/:id' usando IDs sequenciais para manipular comentários associados a contatos, contas, leads e oportunidades de propriedade de outros usuários.

Uma falha de autorização permite que membros autenticados modifiquem configurações globais do servidor. Isso é possível ao invocar a mutação tRPC `others.updateSettings` sem possuir a permissão `MANAGE SETTINGS`. Um invasor pode explorar isso para definir uma senha de entrada, desativar o registro, definir limites de upload como zero ou alternar o carregamento de plugins, o que pode resultar em negação de serviço para outros membros.

Uma referência direta a objeto insegura permite que usuários autenticados criem mensagens de resposta automática para caixas de correio arbitrárias. Ao fornecer o valor `mbox` de outro usuário, um invasor pode enviar uma requisição POST para o endpoint '/api/v2/armessages/' para injetar assuntos e conteúdos de resposta automática controlados nas configurações de uma vítima ou interromper o gerenciamento de respostas automáticas ao disparar erros MultipleObjectsReturned.

Usuários autenticados podem visualizar registros de atividade de todos os usuários devido à falta de autorização nos endpoints de API `ListActivities` e `GetActivity` do ActivityService. Atacantes com baixos privilégios podem enumerar IDs de atividade sequenciais para obter IDs de criadores, carimbos de data/hora e referências de comentários de memos, incluindo atividades em memos privados de outros usuários.

Usuários autenticados podem modificar ou excluir eventos de calendário pertencentes a outros usuários, incluindo eventos não públicos restritos ao proprietário. Isso ocorre devido à falta de autorização nas funções `onEditEvent()` e `onDeleteEvent()` dentro do CalendarUI. Um invasor com permissões de EDIÇÃO ou EXCLUSÃO pode fornecer valores `eventID` arbitrários para manipular esses eventos.