Logan Homolka

A função `CakeResponse::download()` em `lib/Cake/Network/CakeResponse.php` não sanitiza nomes de arquivos fornecidos pelo usuário ao construir o cabeçalho Content-Disposition. Isso gera dois vetores de injeção: o uso de caracteres de controle C0 (CR ou LF) pode fazer com que o PHP descarte o cabeçalho Content-Disposition, resultando na renderização do corpo da resposta diretamente no navegador, e o uso de aspas duplas pode encerrar prematuramente o valor da string citada para injetar parâmetros de cabeçalho adicionais. Um usuário autenticado pode fazer o upload de um anexo com um nome de arquivo manipulado que, ao ser visualizado por outro usuário autenticado, permite a manipulação de cabeçalhos e a execução de HTML ou JavaScript arbitrário. Esta condição possibilita o cross-site scripting armazenado, que pode levar ao sequestro de sessão, exfiltração de dados e ações não autorizadas.

Configurações críticas de infraestrutura, especificamente os endereços de host do Redis usados pelo aplicativo principal, pelo plugin ZeroMQ e pelo plugin SimpleBackgroundJobs, são expostos através da interface web e da API para usuários administradores do site. Como os trabalhadores de tarefas em segundo plano confiam em cargas úteis brutas do Redis sem validação adicional, um invasor com uma sessão de administrador sequestrada pode redirecionar essas configurações para um servidor Redis controlado pelo invasor e reiniciar os trabalhadores. Isso permite a injeção de cargas úteis maliciosas, resultando na execução de comandos arbitrários na conta do trabalhador e potencial exfiltração de dados. Além disso, a configuração `download attachments on load`, que gerencia a renderização de anexos inline, pode ser modificada através da mesma interface, facilitando potencialmente ataques no lado do cliente.