Saidakbarxon Maxsudxonov

Um controle de acesso inadequado no adaptador de armazenamento permite que usuários autenticados ignorem as permissões no nível da coleção. Ao acessar diretamente o endpoint 'client-upload', invasores podem fazer upload de arquivos sem as permissões de acesso à coleção necessárias, contornando a aplicação de segurança pretendida.

Um problema de path traversal existe na API de auto-atualização. Proprietários de empresas autenticados podem gravar arquivos arbitrários fora do diretório de extração pretendido ao fornecer arquivos ZIP manipulados contendo sequências `../` para o endpoint `/unzip`. Isso ocorre porque nomes de entradas ZIP não sanitizados são passados para a função `ZipArchive::extractTo()`, permitindo que atacantes coloquem arquivos PHP arbitrários no diretório público acessível via web e alcancem a execução remota de código (RCE), que é a capacidade de executar comandos arbitrários no servidor.

Uma referência direta insegura a objeto (IDOR) permite que atacantes autenticados com baixos privilégios escalem privilégios ao explorar uma falha de confusão de parâmetros no `UsersController` entre o filtro de autorização e o corpo da ação. Ao enviar uma requisição PATCH para o endpoint 'updated ajax', um atacante pode definir o parâmetro `id` como seu próprio ID de usuário para ignorar as verificações de auto-autorização, enquanto define o parâmetro `user id` como o ID de uma vítima. Isso faz com que o controlador carregue e modifique a conta da vítima, permitindo que o atacante sobrescreva senhas de administrador e assuma o controle total do site.

Um problema de falta de autorização existe no controlador de usuários administrativos. Um usuário autenticado pode acessar os dados de perfil de qualquer outro usuário, incluindo administradores, enviando uma requisição GET para o endpoint de perfil administrativo usando um número inteiro sequencial enumerável no parâmetro `user ID`. Isso ocorre porque a ação de perfil está excluída do filtro de validação de função e carece de uma verificação de propriedade.

Um problema de cross-site scripting armazenado existe no painel móvel. Atacantes autenticados podem injetar HTML e JavaScript arbitrários ao atualizar valores de dispositivos dos subtipos Text ou Alert através da API. O painel móvel renderiza esses dados usando `ng-bind-html` com uma transformação `nl2br()` que não realiza a filtragem de HTML. Isso permite que cargas maliciosas sejam armazenadas e executadas no navegador de um administrador ao visualizar o painel, podendo levar ao roubo de cookies de sessão e à tomada de controle da conta.

Existe uma falha de bypass de autenticação na verificação de token do webhook do plugin scheduler-webhook. Quando o recurso de webhook está habilitado, mas nenhum `webhookToken` está configurado, o sistema ignora a validação do token. Isso permite que um invasor remoto não autenticado acione tarefas agendadas previamente configuradas ao enviar uma requisição para o endpoint 'POST /scheduler/webhook'. O invasor pode determinar qual tarefa será executada através do parâmetro `job`, embora não tenha controle sobre a carga útil da tarefa. A execução remota de código só é possível se o operador tiver configurado uma tarefa que execute comandos de shell. Este problema requer que o plugin scheduler-webhook esteja instalado e que a configuração `scheduler.modern.webhook.enabled` esteja definida como true.

O construtor de relatórios guiados em `reports/guided reports.pl` é suscetível a injeção de SQL cega baseada em tempo. A aplicação lê o parâmetro CGI `order by` e um parâmetro nomeado dinamicamente `{order} ovalue`, concatenando-os diretamente em uma cláusula SQL ORDER BY sem validação ou lista de permissões. Isso ocorre porque a string resultante é anexada literalmente à consulta final em `C4::Reports::Guided` através da operação `$query .= $orderby;`. Contas de funcionários com permissões `create reports` ou `execute reports` podem explorar isso para acessar o banco de dados, que contém informações de identificação pessoal (PII) de usuários e credenciais de funcionários ou LDAP.

Os módulos de inicialização LoRA-GA e CorDA chamam a função `torch.load()` em arquivos de cache ou covariância especificados na configuração sem definir o parâmetro `weights only=True`. Isso ignora o wrapper de carregamento seguro implementado em outras partes da base de código. Como o `torch.load()` sem `weights only=True` realiza a desserialização completa do pickle, um invasor pode executar código arbitrário ao fornecer um arquivo de cache ou covariância malicioso, como um arquivo compartilhado ou baixado.

A função `sanitize sql column()` em `lib/functions.php` não sanitiza adequadamente os nomes de colunas ORDER BY fornecidos pelo usuário. A função utiliza uma expressão regular que permite letras, dígitos, sublinhados, parênteses e pontos, o que possibilita que payloads como `SLEEP(5)` passem inalterados. Este valor sanitizado é concatenado diretamente em cláusulas SQL ORDER BY brutas através do parâmetro GET `sort column` nos endpoints 'user log.php', 'utilities.php', 'user domains.php' e 'user group admin.php'. Consequentemente, qualquer usuário autenticado pode realizar a injeção de SQL cega baseada em tempo, uma técnica usada para extrair informações de um banco de dados observando o tempo que o servidor leva para responder a consultas específicas.

O plugin Comments no Cotonti CMS não restringe as classes durante a desserialização de dados fornecidos pelo usuário, resultando em uma Injeção de Objeto PHP. Isso ocorre quando a função `unserialize()` é utilizada em entradas decodificadas em base64 sem a restrição `allowed classes`. O problema está presente nos seguintes locais: - Em `plugins/comments/controllers/actions/CreateAction.php`, o parâmetro POST `ci` é processado. - Em `plugins/comments/controllers/actions/EditAction.php`, o parâmetro `cb` é processado dentro da função `prepareComeBack()`. - Em `plugins/comments/controllers/actions/DeleteAction.php`, um padrão semelhante existe, mas é restrito a administradores. Membros com acesso de escrita em comentários podem explorar isso para instanciar classes arbitrárias carregadas pelo sistema. Por exemplo, usando a classe `MySQL cache`, um invasor pode acionar a cadeia ` destruct()->flush()` para executar operações `INSERT INTO cot cache` não autorizadas. Dependendo das cadeias de gadgets disponíveis na instalação, isso pode potencialmente levar à Execução Remota de Código (RCE), que é a capacidade de executar comandos arbitrários no servidor.

O resolver de aumento de usuário `AugmentedUser::get()` em `src/Auth/AugmentedUser.php` contém um caso para o handle `two factor recovery codes` que retorna códigos de recuperação de dois fatores brutos sem restrições de acesso. Ao contrário das senhas, esses códigos não são excluídos do aumento e não estão incluídos nas listas de guarda de variáveis do Antlers, que normalmente protegem apenas `config.app.key`. Se a renderização dinâmica de templates estiver habilitada para um campo no nível do blueprint, um invasor pode usar um template como `{{ current user.two factor recovery codes }}` para renderizar os códigos de recuperação do usuário diretamente na resposta HTML. Isso permite que um invasor que possa visualizar ou capturar a resposta obtenha os códigos e ignore a autenticação de dois fatores (2FA). A exploração depende da renderização dinâmica do Antlers estar habilitada via configuração de blueprint.

O auxiliar de ordenação de grade administrativa ` gridGetSorting()` em includes/classes/ia.base.controller.admin.php não valida adequadamente o parâmetro GET `sort`. Embora a função tente validar a lista branca do parâmetro de direção, ela retorna ao uso do parâmetro `sort` bruto, fornecido pelo atacante, quando a chave solicitada não está presente no array de lista branca `$ gridSorting`. Esse valor é então inserido em uma consulta SQL usando `sprintf()` apenas com aspas simples (backticks) e sem escape. Uma sessão de administrador autenticada pode usar uma crase no payload para sair do contexto do identificador e realizar a injeção de SQL, como extração baseada em erro via `EXTRACTVALUE()` ou extração baseada em tempo via `SLEEP()`, para recuperar conteúdos do banco de dados, incluindo hashes de senhas de administradores. Este problema afeta a maioria dos controladores de grade administrativa, incluindo pages.php, transactions.php, languages.php e members.php.

O Bolt CMS renderiza valores de campos de conteúdo usando o Ambiente completo do Twig em nível de aplicação sem um SandboxExtension. No arquivo `src/Entity/Field.php`, a função `getTwigValue()` chama `shouldBeRenderedAsTwig()`, que verifica apenas a flag `allow twig` e uma regex para `{{`, `{%` ou `{#`. Quando essas condições são atendidas, o valor bruto do campo é compilado e renderizado via `self::getTwig()->createTemplate($value)->render(['record' => $this->getContent()])` sem sandboxing. Como o campo de conteúdo padrão para páginas em `config/bolt/contenttypes.yaml` possui `allow twig` definido como true por padrão, usuários com acesso de edição a esse tipo de conteúdo podem injetar payloads Twig para executar comandos arbitrários do sistema operacional como o usuário do servidor web, resultando em execução remota de código.

A implementação de referência do Asynchronous Network Management System (ANMS) contém um problema de configuração onde a API REST do serviço `amp-manager` é publicada diretamente na interface de rede do host na porta 8089. Esta configuração ignora o gateway Configuration and Access Manager (CAM), que serve como a única fronteira de autenticação do sistema. O servidor REST subjacente, implementado com CivetWeb em `dtnma-tools` (especificamente em `src/refdm/nm rest.c`), possui a configuração `enable auth domain check` desativada e utiliza um callback de autenticação nulo para todas as rotas. Isso permite que qualquer cliente com alcance de rede enumere agentes registrados, limpe relatórios armazenados e envie conjuntos de comandos arbitrários para os agentes através do endpoint `.../agents/{eid|idx}/send`, que encaminha conjuntos de comandos codificados em EXECSET para agentes DTNMA registrados.

Usuários autenticados podem ignorar as proteções de server-side request forgery (SSRF) ao utilizar a notação de endereço IP hexadecimal em URLs controladas pelo usuário. Através do recurso de criação de links da web, atacantes podem enviar endereços IP internos codificados em hexadecimal, levando o cURL a se conectar a recursos de rede interna, incluindo serviços de localhost, serviços de metadados de instâncias de nuvem e endereços RFC1918. Isso ocorre porque a função `isPrivateURL()` em `app/Core/Http/Client.php` valida incorretamente a entrada como segura, já que o `FILTER VALIDATE IP` rejeita a notação que não seja decimal pontuada.

O gerenciador de interface Space Link Extension (SLE) apresenta ausência de autenticação, permitindo que atacantes de rede não autenticados acessem sete rotas de API desprotegidas por meio de requisições HTTP diretas. Isso permite que atacantes iniciem ou interrompam sessões de comunicação da Deep Space Network, recuperem dados de quadros de telemetria e injetem quadros arbitrários em links ativos de espaçonaves.

Uma falha de autenticação permite que um invasor de rede não autenticado obtenha uma sessão válida e envie comandos arbitrários para a espaçonave. Isso é possível ao chamar a função `Sessions.create()`, que não realiza a verificação de credenciais. Uma vez estabelecida a sessão, o invasor pode invocar a função `handle cmd()` para encaminhar comandos arbitrários diretamente para o barramento de comando do AIT, pois não há um portão de autenticação entre a criação da sessão e o despacho do comando.

Administradores autenticados podem executar comandos arbitrários como o usuário do processo do servidor web ao configurar um caminho de backup malicioso e disparar um backup. O `FileBackupService` constrói um comando de shell tar usando concatenação de strings, incorporando a variável `siteBackupPath` sem a sanitização adequada via `escapeshellarg()` ou métodos similares antes de passá-la para a função `exec()`. Isso permite que comandos injetados persistam e sejam executados durante cada operação de backup subsequente.

Existe uma falha de bypass de autenticação no plugin scheduler-webhook devido a um erro de lógica de curto-circuito na validação do token do webhook. Isso permite que atacantes remotos não autenticados acionem tarefas agendadas configuradas ao enviar uma requisição POST para o endpoint do scheduler webhook. Atacantes podem executar todas as tarefas configuradas ou alvejar uma específica, resultando na execução não pretendida de comandos definidos pelo operador sob os privilégios do usuário do processo do servidor web.

A falta de autorização no endpoint da API de armazenamento de arquivos Bucket '/system/buckets/api' permite que usuários autenticados ignorem o controle de acesso. A função `api()` em modules/System/Controller/Buckets.php executa comandos como `ls`, `upload`, `removefiles`, `rename` e `createfolder` sem verificar Listas de Controle de Acesso (ACL) ou funções de usuário. Consequentemente, qualquer usuário autenticado pode realizar todas as operações de bucket em qualquer bucket nomeado, incluindo aqueles reservados para administradores.