Rz1027

Improper neutralization of a NUL byte in cPanel allows remote attackers to read any mail account's calendar and contact data.

Uma falha de injeção de argumento permite que usuários locais executem código arbitrário com os privilégios de outras contas hospedadas no mesmo servidor.

Uma falha de autorização inadequada ocorre durante a emissão de códigos de registro de passkey ou autenticação sem senha. O sistema valida a organização especificada no cabeçalho `x-zitadel-orgid`, mas não verifica a organização do usuário alvo. Isso permite que um invasor com permissão de escrita de usuário em uma organização obtenha um código de registro para um usuário pertencente a outra organização na mesma instância, permitindo que o invasor registre seu próprio autenticador e assuma o controle da conta.

Um problema de Cross-Site Scripting (XSS) armazenado existe na interface Manage SSL Hosts. Esta falha permite que um invasor com baixos privilégios execute código arbitrário, impactando potencialmente a confidencialidade, integridade e disponibilidade.

Um problema de Cross-Site Scripting (XSS) armazenado existe na interface Mass Modify Accounts. Esta falha permite que um invasor com baixos privilégios execute código arbitrário, impactando a confidencialidade, integridade e disponibilidade.

A validação insuficiente no Multilang adminbin permite a execução de comandos arbitrários, o que pode conceder acesso de nível root ao servidor. Além disso, existe Cross-Site Scripting (XSS) armazenado—uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo—nas interfaces de SSL e de modificação de conta, permitindo que invasores realizem ações através da sessão do navegador de um administrador.

Os proprietários de arquivos não conseguem desbloquear travas TYPE TOKEN colocadas por outros usuários. Isso resulta em arquivos permanentemente bloqueados, sem caminho de recuperação disponível fora da intervenção direta no banco de dados.

Usuários autenticados com permissões de leitura de tabela podem recuperar configurações de fonte de dados através da API de leitura para obter credenciais de banco de dados de backend e chaves de conta de serviço ativas. O sistema falha ao redigir credenciais armazenadas em campos do tipo STRING, o que permite a exposição de strings de conexão MongoDB e chaves privadas do Firebase em texto simples.

Uma falha de configuração nas imagens Docker oficiais permite que um invasor remoto não autenticado se passe por qualquer usuário, incluindo administradores, falsificando o cabeçalho `X-WEBAUTH-USER`. Isso ocorre porque o modelo `app.ini` define a variável `REVERSE PROXY TRUSTED PROXIES` como um caractere curinga (`*`), fazendo com que a aplicação confie em cabeçalhos de identidade de qualquer endereço IP de origem, em vez de apenas endereços de loopback confiáveis. Este problema é explorável quando a autenticação de proxy reverso está habilitada. Estima-se que aproximadamente 22.900 hosts Gitea únicos estejam acessíveis pela internet, com 83% potencialmente afetados. Atividades de reconhecimento e tentativas de exploração no mundo real foram detectadas 13 dias após a divulgação pública. A falha permite o acesso a repositórios, segredos de CI/CD, chaves SSH e funções administrativas via interface web, embora os endpoints de API baseados em tokens (ex: `/api/v1/...`) não sejam afetados.