Robert Mihaila

Incomplete Comparison with Missing Factors (CWE-1023) in merge chats() (whatstk/utils/chat merge.py), reached from BaseChat.merge(), in whatstk from 0.3.0 before 0.9.0 allows a party that supplies the chat exports to cause messages to be absent from the merged output with no indication that anything was removed, because the merge keeps whole the chat whose first message is oldest and appends from the other only the messages that are strictly newer than the last message of the first. Every message of the second chat that falls inside the date range already covered by the first is therefore discarded. The two chats are compared on their date ranges and not on the identity of the individual messages, so a message held by only one of the two exports is dropped whenever its date falls inside the range of the other, and both branches of merge two chats() behave this way. The merged result is returned without a warning and without a count of what was removed. This results in a merged chat that omits messages the inputs contain, in a library whose documented uses include forensic review and the generation of training data.

A ausência de autenticação na Server Action de revalidação de cache de produtos permite que um invasor remoto não autenticado force a expiração de todo o cache de produtos da loja. A função `revalidateProducts()` em `src/app/actions.ts` chama `updateTag("products")` sem realizar verificações de sessão ou função. Como o arquivo utiliza a diretiva "use server", a função é compilada em uma Server Action invocável via POST. O ID da ação é exposto em um chunk público `/ next/static`, que não é protegido pelo middleware de administração em `proxy.ts`. Quando o `cacheComponents` está habilitado, a loja depende de entradas em cache de `getAllProducts()`, `getCategoryProducts()` e `getProduct()`. A invocação repetida da ação vulnerável mantém o cache frio, forçando a aplicação a ler todo o catálogo de produtos do banco de dados Postgres para cada requisição, o que degrada a disponibilidade da loja.

O módulo de e-mail contém um problema de cross-site scripting armazenado. Um usuário remoto autenticado com baixos privilégios pode executar JavaScript arbitrário no navegador de outro usuário, incluindo administradores, ao armazenar um payload malicioso no corpo de um e-mail. Isso ocorre porque o corpo do e-mail é persistido sem sanitização e renderizado sem escape usando `{!! $email->body !!}` quando o destinatário abre a mensagem, o que pode levar ao comprometimento da sessão e à tomada de conta da conta.

Existe uma falha de bypass de autorização no `CalendarDeleteEventController` (app/Http/Controllers/Calendar/CalendarDeleteEventController.php) através do endpoint GET '/calendar/event/delete/{id}'. Um atacante remoto e autenticado pode excluir eventos de calendário arbitrários pertencentes a outros usuários ao manipular o parâmetro de caminho `{id}`. Isso ocorre porque o manipulador de exclusão utiliza a função `Calendar::find($id)->delete()` sem realizar verificações de propriedade, como o escopo por `user id` ou `company id`, resultando na destruição não autorizada de dados em toda a plataforma.