Pig-Tail

O endpoint não autenticado POST '/ nuxt content/:collection/query' aceita um campo `sql` controlado por um invasor em 'src/runtime/api/query.post.ts' que permite expressões SQLite onerosas. Embora algumas versões utilizem a função `assertSafeQuery()` em 'src/runtime/internal/security.ts' para rejeitar certas palavras-chave SQL em cláusulas WHERE, ela ainda permite chamadas de função como `randomblob()`, `zeroblob()`, `hex()` e `length()`. Essas consultas atingem o sumidouro síncrono better-sqlite3 em 'src/runtime/internal/database.server.ts', permitindo que uma única requisição remota consuma CPU e memória substanciais, bloqueando o loop de eventos do Node.js e todo o processamento de requisições simultâneas. Implantações totalmente estáticas e pré-renderizadas que não expõem o endpoint do servidor não são afetadas.

No arquivo `library/classes/Controller.class.php`, a função `checkControllerAcl()` não aplica permissões para controladores ausentes no `CONTROLLER ACL MAP`. Este despachante com falha aberta permite que um usuário autenticado de baixo privilégio ignore as listas de controle de acesso (ACL) e invoque controladores administrativos. Especificamente, um invasor pode usar `C X12Partner::edit action process()` para criar ou modificar hosts e credenciais de roteamento de seguro, ou usar `C PatientFinder::find action process()` para enumerar identificadores, nomes e datas de nascimento de pacientes. Este problema também expõe outros controladores administrativos que deveriam ser restringidos via rotas de Configurações de Prática.

A página de administração multisite localizada no endpoint 'admin.php' está habilitada sem verificação de autenticação. Isso permite que um ator de rede não autenticado leia configurações de banco de dados do arquivo `sqlconf.php` e se conecte aos bancos de dados de sites configurados. Consequentemente, um invasor pode obter identificadores de site, nomes de bancos de dados, nomes de sites, versões exatas do software e níveis de patch, status de atualização pendente e links diretos para logins e portais de pacientes.

Existe um problema onde a aplicação constrói uma chave de objeto usando o identificador do usuário autenticado e um `fileName` controlado pelo cliente sem rejeitar adequadamente separadores de caminho ou travessia de diretório pai. No backend R2, essa chave é colocada em uma URL de Request antes da assinatura; a normalização da URL então colapsa os componentes de diretório pai, permitindo que uma requisição PUT pré-assinada escape do namespace do chamador. Um invasor autenticado com conhecimento do identificador de um usuário alvo e do hash do livro pode sobrescrever ou envenenar o objeto de livro armazenado de outro usuário e corromper os metadados `file key` associados.

Existe um problema onde a aplicação concede planos pagos a usuários autenticados sem verificar adequadamente a propriedade da sessão. Especificamente, o endpoint "/api/stripe/check" aceita um `sessionId` controlado pelo cliente para recuperar uma Sessão de Checkout do Stripe, mas não verifica o `session.metadata.userId`. Consequentemente, a função `createOrUpdateSubscription()` atualiza o plano de assinatura para o solicitante autenticado em vez do proprietário real da sessão. Isso permite que um usuário gratuito autenticado reutilize um identificador de Sessão de Checkout paga válida para atualizar múltiplas contas sem pagamento adicional.

O endpoint não autenticado '/api/opds/proxy' permite que um invasor remoto execute Server-Side Request Forgery (SSRF), uma técnica na qual o servidor é enganado para fazer requisições a um local não pretendido. A aplicação busca URLs controladas pelo invasor sem restringir esquemas ou bloquear hosts privados, de loopback, link-local ou de metadados, e não revalida os destinos durante redirecionamentos automáticos. Além disso, o endpoint aceita cabeçalhos de saída e valores de `Authorization` controlados pelo chamador, refletindo o status e o corpo da resposta upstream. Em implantações Node, Docker ou auto-hospedadas com acesso à rede interna, isso pode ser usado para recuperar metadados da nuvem ou respostas de serviços internos. Embora as implantações do Cloudflare Workers restrinjam o acesso a destinos link-local e privados, o comportamento público de busca e reflexão persiste.

Em builds desktop do Tauri, os comandos `download file` e `upload file` no arquivo `apps/readest-app/src-tauri/src/transfer file.rs` não validam a variável `file path`. O aplicativo não verifica o escopo do sistema de arquivos do Tauri, não rejeita caminhos absolutos nem bloqueia a travessia de diretórios pai. Como esses comandos estão registrados no manipulador de invocação global para as janelas principal, de atualização e de leitura, o JavaScript executado na origem privilegiada do aplicativo pode ler ou gravar arquivos em qualquer caminho acessível pelo processo. Isso pode permitir que um invasor sobrescreva arquivos de inicialização confiáveis ou exponha dados sensíveis, como chaves, tokens e segredos do aplicativo. A exploração requer a execução de JavaScript na origem privilegiada, o que pode ocorrer por meio de XSS no aplicativo ou um renderizador comprometido.

O componente Livewire Variants em `packages/admin/src/Livewire/Components/Products/Form/Variants.php` carece de autorização no lado do servidor para `DeleteAction` e `DeleteBulkAction`. Um usuário de equipe autenticado com permissões `edit products` pode acessar o endpoint `/shopper/products/{id}/edit` para obter o estado assinado do componente. Subsequentemente, os caminhos `callTableAction` e `callTableBulkAction` permitem a exclusão permanente de variantes de produtos individuais ou múltiplos sem verificar a permissão `delete product variants`. Isso pode levar à destruição do catálogo de vendas e à interrupção das páginas de produtos da loja, do carrinho e dos processos de checkout.

Existe um problema no fluxo de registro de cluster onde a identidade do cluster reivindicada por uma solicitação de registro é aceita sem estar vinculada ao token de registro utilizado na solicitação. Isso permite que uma solicitação de registro seja associada a um cluster gerenciado que foi originalmente registrado com um token de registro diferente.

O Crass trata incorretamente um parêntese de fechamento após uma barra invertida escapada como escapado ao consumir os remanescentes de uma URL inválida. Isso faz com que declarações, regras de estilo ou at-rules permaneçam dentro de um token de URL inválida, que os navegadores interpretam como CSS ativo. Um sanitizador que utilize o Crass para analisar CSS não confiável e reserializá-lo sem rejeitar a URL inválida pode permitir o uso de CSS para redirecionamento de interface do usuário (UI redress), carregamento de recursos externos ou exfiltração de dados via CSS. Este problema não permite a execução de scripts em navegadores modernos.

Uma falha de bypass de autorização permite que usuários autenticados acessem informações de túnel de gateway pertencentes a outros domínios (realms). Ao solicitar o endpoint `getGatewayActiveTunnelInfos` usando seu próprio domínio e o ID de um gateway vítima, invasores podem expor hosts internos, portas e dados de roteamento.

A autorização insuficiente de realm ou descendente de gateway em eventos de gateway de borda recebidos permite que um invasor que controle um gateway registrado quebre o isolamento de locatários. O sistema mapeia IDs de ativos de eventos usando a transformação reversível `GatewayConnector.mapAssetId`. Ao criar IDs de pré-imagem em mensagens `AttributeEvent` ou `DELETE AssetEvent`, um invasor pode sobrescrever atributos de ativos ou excluí-los em qualquer realm.

O receptor de webhook do Git (o serviço de webhook gitjob) não verifica as solicitações recebidas quando um segredo de webhook não está configurado. Isso permite que um chamador remoto com acesso de rede ao serviço, mesmo sem credenciais do Kubernetes, modifique o campo `spec.pollingInterval` de um recurso GitRepo correspondente em qualquer namespace, permitindo alterações de configuração não autorizadas.

Um problema de autorização entre locatários (cross-tenant) ocorre durante o registro de cluster iniciado pelo agente. Rótulos de cluster fornecidos pelo agente de registro, incluindo aqueles no namespace reservado `management.cattle.io/` (como o rótulo de nome de exibição do cluster), são aplicados ao objeto Cluster upstream resultante. Como o Fleet utiliza esses rótulos para resolver alvos de GitRepo e Bundle, um usuário que registre um cluster em um namespace de espaço de trabalho do Fleet compartilhado com outros locatários poderia manipular os rótulos para satisfazer regras de direcionamento pretendidas para um cluster diferente.

Um usuário com a capacidade de fornecer conteúdo de pacote para um repositório referenciado por um recurso GitRepo, como por meio de acesso Git push ou permissões para criar ou modificar um GitRepo, pode forçar o sistema a ler arquivos do sistema de arquivos do ambiente de processamento do pacote. Esses arquivos são então incluídos no recurso Bundle gerado, expondo potencialmente dados de configuração ou credenciais que o usuário não tem permissão para acessar via Kubernetes RBAC (Role-Based Access Control), incluindo credenciais de registro Helm usadas quando credenciais Helm por caminho estão configuradas.

O GitPython não inclui a flag `--separate-git-dir` em seu `unsafe git clone options`. Isso permite que um invasor forneça um parâmetro `separate git dir` para as funções `Repo.clone from()` ou `Repo.clone()`, redirecionando os metadados do repositório para um caminho arbitrário no sistema de arquivos. Esse comportamento pode levar à criação de diretórios não autorizados e à potencial execução de git hooks, que são scripts executados automaticamente quando certos eventos ocorrem em um repositório git.

Existe um problema ao analisar arquivos `.gitmodules` onde o software falha ao desativar o `merge includes`. Isso permite que um invasor exponha o conteúdo de arquivos locais usando diretivas `[include]` para apontar para caminhos de arquivos arbitrários. Quando a propriedade `repo.submodules` é acessada, a função `GitConfigParser` gera um `MissingSectionHeaderError` que inclui a primeira linha do arquivo alvo na mensagem de exceção.

O GitPython falha ao resserializar com segurança valores de git-config de múltiplas linhas durante operações de gravação. Isso permite que atacantes criem arquivos de configuração contendo quebras de linha incorporadas que podem ser corrompidas em diretivas injetadas, como `core.hooksPath`. Quando qualquer gravação de configuração não relacionada ocorre, esses valores citados dormentes tornam-se diretivas git ativas, o que pode levar à execução de código arbitrário por meio da invocação de hooks.

O middleware ForwardAuth neste proxy reverso HTTP e balanceador de carga deriva incorretamente o cabeçalho `X-Forwarded-Port` enviado ao serviço de autenticação a partir da solicitação original recebida, em vez da solicitação encaminhada e sanitizada, mesmo quando o `trustForwardHeader` está configurado como `false`. Isso permite que um invasor remoto não autenticado injete um cabeçalho `X-Forwarded-Proto: https` através de uma conexão HTTP simples, fazendo com que o sistema encaminhe `X-Forwarded-Port: 443` para o serviço de autenticação, ignorando as verificações de autorização baseadas em porta.

Os endpoints internos de desenvolvedor '/webpack-dev-server/open-editor' e '/webpack-dev-server/invalidate' executam ações de alteração de estado em requisições GET sem verificar a origem da requisição. Isso permite que qualquer site visitado por um desenvolvedor acione esses endpoints de forma cross-origin. Um invasor pode abrir arquivos locais arbitrários no editor do desenvolvedor, incluindo arquivos fora da raiz do projeto. Além disso, requisições repetidas podem gerar múltiplos processos do editor e forçar recompilações, resultando na degradação do desempenho da máquina do desenvolvedor.