Sajdakabir

Existe um problema de autorização inadequada no endpoint 'PUT snapshot-url session'. Isso permite que detentores de tokens de sessão públicos obtenham URLs de gravação do S3 pré-assinadas. Como a rota carece de uma verificação exclusiva de chave secreta, os usuários finais podem sobrescrever o snapshot de chat durável de sua própria sessão para forjar o histórico de conversa do agente.

Uma falha de autorização existe no endpoint '/waitpoint token wait'. Atacantes autenticados com uma chave de API secreta podem fornecer um ID de execução da vítima associado ao seu próprio waitpoint. Esta ação faz com que a execução alvo seja bloqueada indefinidamente em um waitpoint que a vítima não consegue completar e permite que o atacante injete dados de retomada nessa execução.

Um problema de autorização permite que detentores de um token público com acesso de escrita de sessão obtenham credenciais de fluxo S2 de todo o ambiente durante a inicialização da entrada da sessão. Essas credenciais podem ser usadas contra a API de armazenamento para criar, anexar ou aparar outros fluxos de sessão e execução, permitindo a falsificação de saída ou a exclusão permanente de registros.

Um problema de injeção de SQL existe no compilador de consultas TSQL, onde nomes de funções de janela são concatenados ao SQL do ClickHouse gerado sem a utilização de listas de permissões (allowlisting) ou escape. Clientes autenticados podem explorar isso enviando um identificador delimitado por crases para o endpoint `POST /api/v1/query`. Isso permite a injeção de uma subconsulta bruta que ignora a guarda `WHERE` por locatário, permitindo a exfiltração de dados analíticos de outras organizações. O problema ocorre porque a função `visitWindowFunction()` no compilador não valida nem escapa a variável `node.name`, diferentemente de outros caminhos de chamada de função que utilizam listas de permissões rigorosas.

Existe um problema onde o manipulador de ação da rota de replay de execução do painel não realiza verificações de autenticação ou de organização. O sistema recupera execuções de tarefas usando apenas a variável `friendlyId`, permitindo que um invasor remoto que conheça este ID execute novamente uma tarefa em um ambiente de sua escolha. Isso pode levar à exposição do payload da tarefa da vítima ou à execução da tarefa usando os segredos e chaves de API da vítima. Além disso, um problema semelhante afeta o endpoint de conclusão de lote, que permite que qualquer usuário autenticado acione a conclusão de qualquer ID de lote. Os endpoints afetados são '/resources/taskruns/$runParam/replay' e '/resources/batches/$batchId/check-completion'.

Usuários autenticados com permissões `chatflows:create` ou `chatflows:update` podem redirecionar requisições para hosts arbitrários devido à falta de validação do parâmetro `baseURL` em nós de modelo de chat. Essa falha permite que atacantes exfiltrem chaves de API de provedores de LLM redirecionando requisições para hosts internos ou serviços de metadados de nuvem.

A autorização baseada em funções insuficiente nos endpoints de gerenciamento de licenças permite que qualquer usuário autenticado exclua chaves de licença ou manipule tokens offline. Usuários com privilégios básicos podem acessar os endpoints `/api/global/license/*` para desativar recursos premium e rebaixar as implantações para todos os usuários.

Existe um problema de falta de autenticação na ferramenta de criação de chatbots onde o endpoint "/api/blocks/file-input/v3/generate-upload-url" utiliza a entrada `fileName` não sanitizada para construir chaves de objetos S3 públicas. O sistema emite URLs PUT pré-assinadas que não vinculam o Content-Type, permitindo que visitantes anônimos de um bot publicado com entrada de arquivo façam o upload de arquivos HTML, SVG ou JS controlados por um invasor para subcaminhos escolhidos. Isso inclui os caminhos de resultados servidos publicamente de outros locatários, permitindo a hospedagem de conteúdo arbitrário e potencial Cross-Site Scripting (XSS) armazenado, que é uma vulnerabilidade onde scripts maliciosos são armazenados permanentemente no servidor alvo. Embora a travessia de diretório usando `../` seja bloqueada pela canonicalização do S3/MinIO, a injeção de caminho por barra simples (forward-slash) permanece explorável.

Uma Referência Direta a Objeto Insegura (IDOR) existe no conjunto de replay de sessão auto-hospedado devido a uma incompatibilidade de maiúsculas e minúsculas na variável `project id`. No ambiente multi-tenant da Enterprise Edition (EE), a função `ProjectAuthorizer. call ` (localizada em `api/auth/auth project.py` e `ee/api/auth/auth project.py`) executa verificações de autorização apenas quando o identificador do projeto está em camelCase (`projectId`). Consequentemente, as consultas para as rotas 'feature-flag' e 'assist-stats' filtram apenas pelo `project id` e ignoram o `tenant id`. Isso permite que um usuário autenticado de um tenant leia, atualize ou exclua dados de feature-flag pertencentes a outro tenant, iterando por valores inteiros sequenciais de `project id` e `feature flag id`.

A integração de fonte de dados REST no arquivo `packages/server/src/integrations/rest.ts` segue redirecionamentos HTTP sem revalidar a URL de destino contra a lista negra de IPs. Isso permite que um Builder autenticado ignore os controles de segurança e acesse serviços internos, como metadados de nuvem e bancos de dados, redirecionando solicitações por meio de um servidor controlado por um invasor. O problema ocorre porque a função ` req()` não define a opção `redirect: "manual"`, fazendo com que o sistema siga automaticamente redirecionamentos HTTP 301, 302 e 307 sem realizar uma verificação secundária da lista negra no destino do redirecionamento.

Uma diretiva de autorização ausente no endpoint 'GET /api/v1/stable/dags/tasks' fez com que a verificação de associação de locatário (tenant) fosse ignorada. Um usuário autenticado em uma instância multi-tenant poderia consultar este endpoint usando o UUID de outro locatário e um UUID de DAG pertencente a esse locatário para recuperar metadados de tarefas. Os dados expostos incluem `display name`, `action id`, `step id`, `workflow id`, `workflow version id`, `workflow run id`, `task external id`, `tenant id`, `retry count`, `status`, timestamps e `additional metadata`. O campo `additional metadata` pode conter contextos de domínio sensíveis, como identificadores de usuário, IDs de cliente, flags de recursos ou tokens de correlação.

O renderizador de markdown do chat contém uma regra personalizada insegura para imagens que interpola o texto `alt` da imagem markdown em um atributo HTML `alt` sem codificação HTML. Embora a maioria dos locais de chamada utilize `DOMPurify.sanitize()` como defesa em profundidade, o componente `Chartable` renderiza legendas de gráficos sem sanitização. Um invasor capaz de influenciar a saída do LLM — como por meio de injeção de prompt indireta em um documento de espaço de trabalho compartilhado ou criando um registro de gráfico em um espaço de trabalho multiusuário — pode desencadear Cross-Site Scripting (XSS) de nível DOM armazenado, que é uma vulnerabilidade que permite a execução de scripts maliciosos no navegador do usuário. O histórico do chat é carregado via endpoint 'GET /api/workspace/:slug/chats' e renderizado na interface do usuário.

Uma falha de segurança existe no SiYuan que permite que um site malicioso alcance Execução Remota de Código (RCE) em um sistema desktop executando o aplicativo. Isso é possível devido a uma política CORS permissiva (`Access-Control-Allow-Origin: *` + `Access-Control-Allow-Private-Network: true`) que permite a injeção de um snippet JavaScript via a API. O snippet injetado é executado dentro do contexto Node.js do Electron, concedendo acesso total ao sistema operacional quando o usuário abre a interface do SiYuan. O ataque requer apenas uma visita ao site malicioso enquanto o SiYuan está em execução e não requer nenhuma interação do usuário. A vulnerabilidade reside no middleware CORS (`kernel/server/serve.go`, linhas 960-963) e no endpoint de injeção de snippet (`kernel/api/snippet.go`, linhas 93-128). O cabeçalho `Access-Control-Allow-Private-Network: true` ignora a proteção de Acesso de Rede Privada do Chrome, permitindo solicitações de origem cruzada para a API SiYuan em `127.0.0.1:6806`. A verificação do middleware de autenticação é ignorada porque o navegador envia o cookie da sessão com a solicitação de origem cruzada. Um invasor pode explorar isso enviando uma solicitação POST para o endpoint da API `/api/snippet/setSnippet` com um snippet JavaScript malicioso, que é então salvo e executado pelo SiYuan. Isso permite a execução de código arbitrário, exfiltração de dados e persistência potencial no sistema afetado.

The `jq:` and `jqraw:` include filter expressions in changedetection.io allow the use of the jq `env` builtin, which reads all process environment variables and stores them as the watch snapshot. An authenticated user, or an unauthenticated user when no password is set, can leak sensitive environment variables including `SALTED PASS`, `PLAYWRIGHT DRIVER URL`, `HTTP PROXY`, and any secrets passed as environment variables to the container. The vulnerability resides in the `html tools.py` file, specifically lines 380-388, where user-supplied jq filter expressions are compiled and executed without restricting dangerous jq builtins. The form validator only checks that the expression compiles, failing to block dangerous functions like `env`. This allows an attacker to create a watch for any JSON endpoint using `jqraw:env` as the include filter, which then exposes all environment variables in the processed text file. This can lead to secret exposure, infrastructure credential theft, and potential cascading access to other internal systems.