Morimori-Dev

Um invasor autenticado pode ignorar a validação de IP ao colocar o nome do host do servidor em um caminho de URL, permitindo que solicitações do lado do servidor sejam direcionadas a serviços internos. Isso ocorre porque a proteção contra Server-Side Request Forgery (SSRF)—uma vulnerabilidade onde um servidor é enganado para fazer solicitações a um local não pretendido—usa uma comparação de substring na função `isSelfRequest()` em vez da igualdade do nome do host. O fluxo afetado começa em `validate external host()` e utiliza `isSelfRequest()` e `stripos()` para processar dados controlados pelo invasor.

Atacantes autenticados podem executar consultas SQL arbitrárias e recuperar resultados em respostas HTTP. Isso ocorre porque os endpoints de análise de trace-funnel interpolam os campos `service name` e `span name` em literais de string do ClickHouse sem a devida filtragem (escaping).

O manipulador HTTP falha ao aplicar wrappers de autorização aos endpoints de análise de trace-funnel. Isso permite que atacantes não autenticados enviem definições de funil arbitrárias para recuperar análises de rastreamento, incluindo identificadores, durações, contagens de span, topologia de serviço e atividade de erro, sem fornecer credenciais.

Um usuário autenticado com permissões de gerenciamento de armazenamento pode realizar requisições do lado do servidor para URLs internas ou de serviços de metadados. Isso ocorre porque a validação do endpoint de armazenamento S3 verifica apenas o formato da URL, e a função `testConnection()` envia uma requisição para o endpoint configurado sem a validação suficiente.

Um usuário autenticado pode disparar solicitações do lado do servidor para endereços de rede interna. Isso ocorre porque a função `processUrlFile()` em `packages/server/src/automations/steps/ai/extract.ts` utiliza `fetch(fileUrl)` diretamente, ignorando a validação de lista negra de IP aplicada a outras etapas de automação. Isso permite o acesso a endpoints de metadados de nuvem, varredura de rede interna e acesso a APIs internas. A variável `fileUrl` é o parâmetro vulnerável utilizado para iniciar essas solicitações.

Usuários autenticados podem realizar Server-Side Request Forgery (SSRF) Cego para serviços internos no Tailscale, Carrier-Grade NAT (CGNAT) e outros ambientes usando endereços 100.64.0.0/10. Isso ocorre porque os mecanismos de busca de URL de logotipo e ícone utilizam uma verificação de validação de IP inline que não bloqueia endereços CGNAT, apesar de a função auxiliar `is cgnat ip()` estar disponível no sistema. O problema afeta os endpoints 'endpoints/subscription/add.php' e 'endpoints/payments/add.php'.

Gotenberg é uma API stateless alimentada por Docker para arquivos PDF. O endpoint de gravação de metadados valida as chaves de metadados para caracteres de controle, mas não sanitiza os valores dos metadados. Um caractere de nova linha (` `) injetado em um valor de metadado divide a linha de stdin do ExifTool em dois argumentos separados, permitindo a injeção de pseudo-tags arbitrárias do ExifTool, como `-FileName`, `-Directory`, `-SymLink` e `-HardLink`. Este problema é um bypass de uma correção anterior incompleta que validava apenas as chaves. Um invasor não autenticado pode explorar isso através do endpoint `/forms/pdfengines/metadata/write` manipulando o parâmetro `metadata`. Isso pode levar à execução remota de código, permitindo que o invasor renomeie ou mova PDFs para caminhos arbitrários no sistema de arquivos do container, sobrescreva arquivos críticos do sistema ou crie links simbólicos e links rígidos. A vulnerabilidade é disparada dentro da função `WriteMetadata()` em `pkg/modules/exiftool/exiftool.go` ao passar valores para a função `SetString()` da biblioteca `go-exiftool`.

O módulo bazar contém uma falha de injeção de SQL no arquivo `tools/bazar/services/EntryManager.php`. O problema ocorre porque o valor `id fiche`, originado da variável `$ POST['id fiche']`, é concatenado diretamente em uma consulta SQL bruta sem sanitização ou parametrização. Isso permite que um usuário autenticado execute comandos SQL arbitrários através do endpoint '/api/entries/{formId}' ao manipular o parâmetro `id fiche`. A vulnerabilidade é acionada dentro da função `create()`, que chama a `formatDataBeforeSave()`, eventualmente passando a entrada não sanitizada para a função `loadSingle()`.

Um problema de redirecionamento aberto existe no manipulador de sucesso de autenticação SAML. O sistema aceita parâmetros POST `RelayState` não validados como destinos de redirecionamento, permitindo que atacantes com acesso ao Provedor de Identidade (IdP) redirecionem usuários autenticados para URLs maliciosas. Isso pode ser utilizado para facilitar ataques de phishing ou roubo de credenciais.

Existe um problema no endpoint AJAX de estatísticas onde os parâmetros `date start` e `date end` na ação `users active` dentro do arquivo 'public/main/inc/ajax/statistics.ajax.php' não são sanitizados. Esses parâmetros são interpolados diretamente em uma consulta SQL, permitindo que um administrador autenticado realize uma injeção de SQL cega baseada em tempo para extrair dados arbitrários do banco de dados.

Name of the Vulnerable Software and Affected Versions Cronicle versões anteriores a 0.9.111 Description Cronicle é um agendador e executor de tarefas multi-servidor, com uma interface de usuário web. Um usuário não-administrador com privilégios `create events` e `run events` pode injetar JavaScript arbitrário através de campos de saída de tarefas, incluindo `html.content`, `html.title`, `table.header`, `table.rows` e `table.caption`. O servidor armazena esses dados sem sanitização, e o cliente os renderiza via `innerHTML` na página Detalhes da Tarefa. Recommendations Atualize para a versão 0.9.111 ou posterior.

Name of the Vulnerable Software and Affected Versions OpenObserve versões anteriores a 0.70.4 Description OpenObserve, uma plataforma de observabilidade nativa da nuvem, apresenta uma falha onde a função `validate enrichment url` em `src/handler/http/request/enrichment table/mod.rs` não bloqueia corretamente endereços IPv6. A crate url do Rust retorna endereços IPv6 com colchetes ao redor (por exemplo, '[::1]' em vez de '::1'). Isso permite que um invasor autenticado acesse serviços internos que são bloqueados de acesso externo. Em implantações na nuvem, isso pode levar à recuperação de credenciais IAM via AWS IMDSv1 (169.254.169.254), metadados do GCP ou Azure IMDS. Em implantações auto-hospedadas, permite a sondagem de serviços de rede internos. Recommendations Atualize para a versão 0.70.4 ou posterior.

Name of the Vulnerable Software and Affected Versions Cronicle versões anteriores a 0.9.111 Description Cronicle é um agendador e executor de tarefas multi-servidor, com uma interface de usuário web. Antes da versão 0.9.111, processos filhos de tarefas (jb) podiam incluir uma chave `update event` em sua saída JSON. O servidor aplicava isso diretamente à configuração armazenada do evento pai sem verificações de autorização. Um usuário com poucos privilégios, capaz de criar e executar eventos, poderia modificar qualquer propriedade do evento, incluindo URLs de webhook e e-mails de notificação. Recommendations Atualize para a versão 0.9.111 ou posterior.

Name of the Vulnerable Software and Affected Versions LinkAce versões anteriores a 2.5.4 Description LinkAce, um arquivo auto-hospedado para links de sites, possui uma falha onde as funções `LinkRepository::update` e `CheckLinksCommand::checkLink` não validam endereços IP privados. Um usuário autenticado pode potencialmente acessar respostas de serviços internos, como AWS IMDSv1, metadados de nuvem e APIs internas, criando um link com uma URL pública e modificando-o para usar um IP privado. O job cron `links:check` executa solicitações do lado do servidor sem filtragem de IP, o que pode expor credenciais de nuvem, dados de serviços internos e topologia de rede. Recommendations Atualize para a versão 2.5.4 ou posterior.

pyLoad, um gerenciador de downloads de código aberto escrito em Python, possui uma falha na função API `parse urls` localizada em `src/pyload/core/api/ init .py`. Esta função busca URLs no lado do servidor usando `get url(url)` (pycurl) sem validar a URL, restringir protocolos ou implementar uma lista de bloqueio de IP. Um usuário autenticado com permissão ADD pode fazer solicitações HTTP/HTTPS para recursos de rede interna e endpoints de metadados de nuvem. Eles também podem ler arquivos locais via protocolo `file://`, interagir com serviços internos usando os protocolos `gopher://` e `dict://` e enumerar a existência de arquivos por meio de um oráculo baseado em erros. A função `get url()` é usada sem restrições, permitindo o acesso a vários protocolos e recursos internos.

The application fails to enforce password validation rules defined by Django's `AUTH PASSWORD VALIDATORS` setting when creating or editing users via the REST API. This setting, configurable in `nautobot config.py`, can be used to apply various password complexity rules. The issue allows for the creation or modification of user accounts with weak or non-compliant passwords. User management through the admin UI correctly enforces password validation. The vulnerable component is the REST API used for user creation and editing. The affected API endpoints are those used for user creation and modification. The `AUTH PASSWORD VALIDATORS` variable is central to the issue.

Gotenberg é uma ferramenta de conversão de documentos baseada em API. As listas de negação (deny-lists) de IP privado padrão para as flags `--webhook-deny-list` e `--api-download-from-deny-list` utilizam uma expressão regular sensível a maiúsculas e minúsculas para corresponder aos esquemas de URL. Como a função `net/url.Parse()` normaliza o esquema para letras minúsculas antes de estabelecer a conexão TCP de saída, um invasor pode burlar a lista de negação simplesmente capitalizando parte do esquema da URL (por exemplo, `HTTP://`, `HTTPS://` ou `Http://`). Isso permite que solicitações não autenticadas alcancem serviços de rede interna, incluindo intervalos de IP privado, endereços de loopback e endpoints de metadados de instâncias em nuvem. O problema envolve a função `FilterDeadline()` e a lógica específica em `pkg/modules/webhook/webhook.go` e `pkg/modules/api/api.go`.

Lychee is a free, open-source photo-management tool. Prior to version 7.5.2, the Server-Side Request Forgery (SSRF) protection in `PhotoUrlRule.php` could be bypassed using DNS rebinding. The IP validation check (lines 86-89) only activates when the hostname is an IP address. When a domain name is used, `filter var($host, FILTER VALIDATE IP)` returns `false`, skipping the entire check. This allows for potential unauthorized access or actions through the vulnerable application.

Lychee is a free, open-source photo-management tool. Before version 7.5.3, the photo `description` field was stored without HTML sanitization and rendered using `{!! $item->summary !!}` (Blade unescaped output) in the RSS, Atom, and JSON feed templates. The `/feed` API endpoint is publicly accessible without authentication, allowing any RSS reader to execute attacker-controlled JavaScript.

Invoice Ninja, an invoice, quote, project, and time-tracking application built with Laravel, has an issue where the product notes fields in versions 5.13.0 through 5.13.3 allow raw HTML through Markdown rendering, potentially leading to stored cross-site scripting (XSS). The Markdown parser's output was not properly sanitized using the `purify::clean()` function before being included in invoice templates. This could allow an attacker to inject malicious code into the system.