Lza

Existe uma falha de bypass de autorização na extensão de servidor SIWX. Clientes pagantes podem desbloquear rotas não pagas fornecendo uma URL `PaymentPayload.resource` incompatível. Isso permite que um invasor pague pela rota protegida por SIWX mais barata enquanto especifica uma rota de alto custo na variável `resource.url`, permitindo o acesso repetido à rota cara usando apenas um cabeçalho SIGN-IN-WITH-X sem pagamento adicional.

Uma injeção de entidade externa XML (XXE) ocorre quando o software processa XML por meio de um DocumentBuilderFactory não endurecido, com entidades externas e carregamento de DTD habilitados. Atacantes autenticados podem explorar isso fornecendo um payload `taskScript` manipulado para o endpoint 'doEditWorkflow'. Isso permite a falsificação de solicitação do lado do servidor (SSRF), onde o servidor é forçado a fazer solicitações HTTP externas para a infraestrutura controlada pelo atacante, e a exfiltração de arquivos locais fora de banda que sejam legíveis pelo usuário do processo TIS, como arquivos de configuração e credenciais do banco de dados Derby.

Um problema de acesso não autorizado existe devido a um segredo de assinatura JWT codificado no arquivo `application-maxkey.properties`. Isso permite que invasores não autenticados forjem tokens JSON Web Tokens (JWT) válidos—um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes—e se autentiquem como qualquer usuário. Ao utilizar o mecanismo de login com salto de senha, invasores podem assinar um token com o segredo padrão e enviá-lo ao endpoint `/sign/login/jwt/trust` para obter uma sessão de administrador autenticada, concedendo acesso a configurações de aplicativos SSO e segredos de aplicativos downstream.

Existe um problema no GlueFactory que permite a execução de scripts Groovy não isolados (unsandboxed) a partir de campos de modelo de banco de dados sem restrições de compilação ou listas de permissões (whitelisting). Atacantes podem manipular o campo de script por meio de endpoints de modelo de mensagem para executar código Groovy arbitrário e comandos do sistema operacional no servidor backend.