Louis Sanchez

Um problema de path traversal existe na API de Ativos do Mautic. Um usuário da API autenticado com permissões para criar ativos pode especificar um caminho de arquivo que não é restrito ao diretório de upload de ativos. Isso permite o registro de qualquer arquivo legível pelo processo do servidor web como um ativo do Mautic. Uma vez publicado, a URL de download público fornece o conteúdo do arquivo sem autenticação, permitindo a recuperação de arquivos arbitrários do servidor, como arquivos do sistema e arquivos de configuração contendo chaves secretas, senhas de banco de dados e credenciais SMTP.

Membros da equipe autenticados podem realizar um server-side request forgery (SSRF), que ocorre quando um servidor é enganado para fazer requisições a um destino não pretendido. Ao fornecer um parâmetro `host` controlado pelo chamador ao endpoint de teste do proxy ClickHouse, um invasor pode direcionar o servidor para destinos internos arbitrários devido à falta de validação de URL ou aplicação de lista de permissões (allowlist). Isso permite a divulgação de corpos de resposta de serviços internos por meio de respostas de erro refletidas, possibilitando o acesso não autorizado a APIs internas, serviços de container e endpoints de metadados de provedores de nuvem.

A função `Users::getUser()` na API JSON-RPC não implementa verificações de autorização suficientes. Isso permite que usuários autenticados recuperem registros completos de credenciais de usuários ao fornecer IDs de usuário arbitrários. Os dados expostos incluem hashes de senha, segredos TOTP (Senha de Uso Único Baseada em Tempo) e tokens de sessão, que podem ser utilizados para enumeração de contas, quebra de senha offline, bypass de autenticação de dois fatores e sequestro de sessão.