Medoedus

Um Server-Side Request Forgery (SSRF) cego existe quando a configuração `[oauth2 client] UPDATE AVATAR = true` está habilitada. O problema ocorre porque o servidor busca a URL do avatar fornecida por um provedor OAuth2/OIDC — geralmente a claim `picture` — usando o cliente HTTP padrão do Go sem aplicar restrições de host ou IP de saída. Um usuário com baixos privilégios que consiga influenciar sua própria claim `picture` pode forçar o servidor Gitea a fazer requisições HTTP GET arbitrárias para endereços de loopback, endereços de rede privada RFC 1918 e endereços link-local IPv4, como `169.254.169.254`. Detalhes técnicos incluem: - **Função Vulnerável**: `oauth2UpdateAvatarIfNeed()` em `routers/web/auth/oauth.go` e `oauth2SignInSync()` em `routers/web/auth/oauth signin sync.go`. - **Variável Vulnerável**: `gothUser.AvatarURL`. Embora o problema seja primariamente cego, pois respostas que não sejam imagens são rejeitadas, o impacto aumenta se o servidor conseguir alcançar serviços de metadados de nuvem ou serviços internos que retornem dados de imagem válidos, que poderiam então ser armazenados como o avatar do usuário.

Existe um problema na aplicação do escopo apenas público (public-only) de tokens, onde um token de API com escopo apenas público pode acessar dados privados de organizações. Isso ocorre devido a duas falhas: o endpoint '/user/orgs' não possui a validação `checkTokenPublicOnly()` e a função `checkTokenPublicOnly()` utiliza uma lógica de switch-case que avalia apenas a primeira categoria correspondente, fazendo com que a verificação de visibilidade do usuário seja ignorada em rotas que envolvem categorias de usuário e organização.

OpenImageIO é um conjunto de ferramentas para leitura, escrita e manipulação de arquivos de imagem para VFX e animação. Existe um problema em `jpeg2000input.cpp` onde o tamanho do buffer é calculado usando aritmética de 32 bits com sinal através do cálculo `const int bufsize = w * h * ch * buffer bpp`. Se o produto resultante exceder `INT MAX`, o valor retorna a zero ou a um número pequeno, fazendo com que `m buf.resize()` aloque um buffer subdimensionado. Isso leva a um estouro de heap (heap overflow) durante os loops de escrita de pixels subsequentes. Este problema é condicional à flag de compilação `USE OPENJPH`.

Existe um problema no conjunto de ferramentas utilizado para ler, escrever e manipular arquivos de imagem para VFX e animação. Especificamente, o arquivo `softimageinput.cpp` não limita o comprimento da execução (run length) à largura restante da linha de varredura antes de escrever os pixels, tanto em caminhos RLE (Run-Length Encoding, uma forma de compressão de dados sem perdas) mistos quanto puros. Enquanto o caminho do pacote bruto utiliza `std::min` para a limitação, os caminhos RLE ignoram essa verificação. Um arquivo .pic especialmente criado pode causar um estouro de heap (heap overflow) de até 65535 bytes.

OpenImageIO é um conjunto de ferramentas para leitura, escrita e manipulação de arquivos de imagem para VFX e animação. Um estouro de buffer de heap (heap buffer overflow) e travamento podem ocorrer ao processar um arquivo .sgi manipulado onde a contagem de RLE (Run-Length Encoding) excede a largura da linha de varredura (scanline). Isso acontece porque o arquivo `sgiinput.cpp` utiliza `OIIO DASSERT` para a verificação de limites no loop de decodificação RLE; em builds de lançamento, essa macro é compilada como um no-op, desativando efetivamente as verificações de limites.

Um erro de off-by-one existe no filtro de travessia de caminho em `channels/drive/client/drive file.c`. A função `contains dotdot()` não detecta `..` quando este é o componente final de um caminho sem um separador final, embora identifique corretamente `../` e `..` no meio do caminho. Um servidor RDP malicioso pode explorar isso para ler, listar ou gravar arquivos em um diretório acima da pasta compartilhada do cliente por meio de solicitações RDPDR, desde que o cliente se conecte com o redirecionamento de unidade habilitado.

Existe um estouro de número inteiro (integer overflow) na função `ImageChannel::resize()`, que pode levar a uma gravação fora dos limites do heap (heap OOB write)—uma condição onde os dados são gravados fora dos limites do buffer de memória alocado—através da API pública OpenEXRUtil.