Meifukun

O baixador de ícones não aplica a verificação `should block host()` ao host de segundo estágio ao processar URLs de favicon analisadas a partir de HTML controlado por um invasor e passadas para `get page with referer()`. Isso permite que um invasor remoto não autenticado use uma URL de literal de IP em um favicon para ignorar a normalização de host e forçar o servidor a alcançar endereços de loopback, privados ou internos. Este problema ocorre em instâncias onde o download de ícones internos está habilitado e pode levar à exposição de respostas internas ou revelar a acessibilidade da rede interna por meio de tempo, status e comportamento de cache.

Chaves de API completas são gravadas nos logs da aplicação em cada requisição autenticada. Isso permite que indivíduos com acesso aos logs recuperem e reutilizem credenciais de portador (bearer credentials) ativas, que são tokens usados para autenticar a identidade de um usuário em uma sessão específica.

Existe um problema no controlador de operação de perguntas onde as operações de ocultar e exibir são controladas por uma verificação de permissão incorreta. Especificamente, o sistema verifica a permissão `question.unpin` em vez da permissão `question.hide`. Em configurações de funções personalizadas onde essas permissões são separadas, um usuário que possui apenas a permissão `question.unpin` pode ocultar ou restaurar perguntas sem ter as permissões `question.hide` ou `question.show` necessárias.

Existe um problema onde o importador armazena corpos de perguntas importados como HTML bruto em vez de usar o caminho de sanitização Markdown-para-HTML padrão. Isso permite que HTML controlado por um invasor em uma fonte de dados importada seja persistido e renderizado para todos os visualizadores, incluindo usuários privilegiados, resultando em Cross-site Scripting (XSS) armazenado, que é uma falha onde scripts maliciosos são injetados em sites confiáveis.

Certos endpoints falham ao aplicar verificações de autorização baseadas em função. Isso permite que usuários autenticados solicitem esses endpoints para ler dados financeiros além das permissões concedidas por sua função atribuída.

Certos endpoints não aplicam verificações de autorização adequadas. Isso permite que usuários autenticados enviem solicitações a esses endpoints para modificar dados além do que a função atribuída a eles permite.

Certos endpoints não aplicam verificações de permissão adequadas. Isso permite que usuários autenticados com baixos privilégios solicitem esses endpoints diretamente para ler dados financeiros além do permitido por sua função atribuída.

Uma falha de bypass de autorização permite que usuários autenticados operem instâncias de tarefas em projetos aos quais não têm acesso autorizado. Isso ocorre por meio dos seguintes endpoints de API: - '/dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/stop' - '/dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/savepoint'

Uma falha de bypass de autorização permite que usuários autenticados realizem operações não autorizadas em cronogramas de fluxo de trabalho, definições de fluxo de trabalho e instâncias de tarefas em diferentes projetos. O sistema verifica as permissões com base no `projectCode` fornecido, mas não confirma se o recurso de destino realmente pertence a esse projeto. Consequentemente, um usuário com permissões em um projeto pode usar o código desse projeto junto com um identificador de recurso de outro projeto para ignorar as restrições de acesso. Isso permite que atacantes alterem a disponibilidade do fluxo de trabalho e interfiram na execução de tarefas em projetos não autorizados através dos seguintes endpoints: - 'POST /projects/{projectCode}/schedules/{id}/online' - 'POST /projects/{projectCode}/schedules/{id}/offline' - 'POST /projects/{projectCode}/workflow-definition/{code}/release'

Uma falha de autorização permite que usuários autenticados não administradores recuperem dados de configuração do Kubernetes destinados à configuração de cluster gerenciada por administradores. Os dados de kubeconfig expostos contêm credenciais que podem permitir que os usuários se autentiquem diretamente na API do Kubernetes fora da aplicação. Dependendo das permissões das credenciais divulgadas, como acesso de cluster-admin ou de conta de serviço privilegiada, um invasor pode ler Secrets do Kubernetes, criar pods e estabelecer acesso persistente ao cluster.

O endpoint '/datasources/unauth-datasource' não aplica corretamente a autorização de fontes de dados. Um usuário autenticado pode invocar este endpoint para obter informações sobre fontes de dados às quais não tem permissão de acesso, o que pode expor metadados sensíveis e configurações de fontes de dados.

A ausência de autenticação em uma função crítica permite que um invasor remoto não autenticado altere persistentemente um valor de configuração global do site relacionado à seleção do weblog da página inicial. Isso ocorre porque a ação de configuração permanece acessível anonimamente após a instalação e persiste a configuração sem uma verificação de autorização. Este problema pode resultar no redirecionamento ou na interrupção da página inicial pública do site.

Existe uma falha de bypass de autorização que permite que um usuário autenticado com direitos de autoria em um weblog leia, modifique ou exclua recursos pertencentes a outro weblog. Isso ocorre por meio de buscas baseadas em identificadores não delimitados em instalações multiusuário onde os usuários deveriam estar isolados. Além disso, um usuário com direitos de administrador em seu próprio weblog pode sobrescrever o template Velocity de outro weblog, cujo conteúdo é avaliado quando o weblog vítima é renderizado. Velocity é um mecanismo de template baseado em Java usado para gerar conteúdo dinâmico.

A restrição inadequada de referências a Entidades Externas XML (XXE) permite que um usuário com direitos de edição de entradas em um weblog force o servidor a analisar uma resposta de trackback usando um analisador XML que não desabilita a resolução de entidades externas. Isso pode levar à divulgação de arquivos legíveis pelo processo do Roller. Embora o controle de Trackback esteja oculto na interface padrão, a ação permanece diretamente acessível, sem a necessidade de qualquer configuração de servidor não padrão.

Um usuário autenticado pode ler, modificar ou excluir conteúdo de weblogs pertencentes a outros weblogs. Isso ocorre porque os manipuladores das APIs legadas XML-RPC Blogger e MetaWeblog autenticam o chamador, mas não verificam se o chamador possui as permissões necessárias para o weblog ou entrada específica que está sendo acessada. Este problema afeta apenas instalações onde a configuração global de XML-RPC, que não é a padrão, está habilitada.

Uma autorização incorreta no endpoint de autorização OAuth 1.0a permite que um invasor remoto não autenticado vincule um token de solicitação pendente de um consumidor configurado para todo o site a qualquer conta de usuário, incluindo um administrador. Isso ocorre porque o endpoint deriva a identidade autorizadora de um valor fornecido na solicitação em vez da sessão autenticada. Este problema afeta apenas instalações que configuram um consumidor OAuth 1.0a para todo o site e requer que o invasor conheça um token de solicitação pendente.

Um usuário autenticado com direitos de edição de entradas pode disparar requisições HTTP externas para destinos arbitrários através do processamento legado de Trackback externo e anexos de entrada. Embora o controle de Trackback esteja oculto na interface padrão, a ação permanece acessível. O problema ocorre quando um autor fornece uma URL de anexo. Como a lista de permissões de Trackback padrão está vazia, ela permite todos os destinos, incluindo endereços de loopback e redes privadas. Além disso, o processamento de anexos revela o status da resposta, o tipo de conteúdo e o comprimento do destino solicitado.

Existe uma falha de bypass de autenticação devido a um problema de capture-replay na API AtomPub. Um invasor pode capturar um cabeçalho de autenticação WSSE digest válido e reproduzi-lo para obter a autoridade da vítima. Isso ocorre porque o processo de autenticação não impõe a atualidade do timestamp ou a unicidade do nonce (um número aleatório usado uma única vez para evitar ataques de replay). Este problema afeta apenas instalações onde a API AtomPub não padrão está habilitada com autenticação WSSE e armazenamento de senhas compatível com texto simples.

Ocorre Cross-Site Request Forgery (CSRF) quando os filtros de validação de CSRF aceitam requisições que omitem o token de salt obrigatório, validando-as, em vez disso, contra um valor gerado pelo próprio servidor para aquela requisição. Isso permite que um atacante remoto induza um autor ou administrador autenticado a visitar uma página maliciosa e execute ações de alteração de estado sob a autoridade da vítima. Este problema não requer recursos opcionais ou configurações não padrão.

A neutralização inadequada de entrada durante a geração de páginas web leva ao cross-site scripting (XSS) armazenado na interface de autoria. Um usuário com direitos de autoria pode armazenar conteúdo manipulado que é posteriormente gravado em literais de string JavaScript e sinks de marcação sem a codificação adequada. Isso permite que o script armazenado seja executado no navegador de outro autor ou administrador. Este problema afeta weblogs com múltiplos autores ou administradores que não confiam mutuamente e não requer recursos opcionais ou configurações não padrão.