Pbc

O Postiz não verifica se os caminhos de mídia que não estão formatados como endereços web estão localizados dentro do diretório de upload designado. Isso permite que um usuário registrado forneça um caminho de mídia manipulado que possibilita ao trabalhador de publicação ler arquivos arbitrários do disco do servidor e enviá-los como anexos para um servidor Discord externo. Além disso, duas outras rotas permitem leituras irrestritas semelhantes: uma que confirma a existência de arquivos e pode levar ao esgotamento da memória do backend, e outra que entrega o arquivo. Como o autorregistro está habilitado por padrão, um invasor pode criar uma conta para explorar esses problemas.

O Postiz utiliza um único segredo compartilhado para assinar tokens de sessão, convite e redefinição de senha sem incluir um marcador para distinguir a finalidade do token. Uma rota utilizada para atualizar as credenciais do canal de extensão do navegador assina dados fornecidos na requisição e armazena o resultado para que o usuário possa recuperá-lo. Isso permite que um usuário forje um token assinado validamente com alegações arbitrárias, que a aplicação pode aceitar como um token de sessão, um convite de organização com uma função específica, um token de redefinição de senha ou um token de provisionamento empresarial. Além disso, uma rota para a criação de convites de equipe assina campos extras do corpo da requisição usando o mesmo mecanismo falho.

O Postiz permite que usuários autenticados solicitem que o backend execute funções em canais conectados sem restringir quais funções podem ser chamadas. Isso permite que usuários acionem funções auxiliares internas que não deveriam estar acessíveis via interface web. Uma dessas funções permite a leitura de arquivos arbitrários no disco do servidor se um canal for conectado utilizando um caminho de arquivo como token, expondo potencialmente variáveis de ambiente, segredos de assinatura de sessão, endereços de banco de dados e credenciais de serviços. Além disso, outra função auxiliar pode ser utilizada para forçar o encerramento do processo do backend, causando a interrupção do serviço. Como o auto-cadastro está habilitado por padrão, essas ações podem ser realizadas por qualquer usuário recém-registrado.