Santhreal

Existe um redirecionamento aberto porque o logout do WS-Federation, o logout e gerenciamento de identificador de nome do SAML v2.0, o localizador de provedor de identidade do SAML v2.0 e algumas páginas de autenticação não verificam as URLs de destino em listas de permissões. Atacantes podem criar links com o domínio OpenAM que enviam usuários para sites externos arbitrários para phishing.

Um problema de falsificação de solicitação cross-site (CSRF) existe no fluxo de autorização de dispositivo OAuth 2.0. Isso ocorre quando o consentimento é ignorado para clientes de consentimento implícito, permitindo que um invasor aprove códigos de dispositivo. Ao atrair um usuário autenticado para uma página especialmente criada, um invasor pode obter tokens de acesso e de ID para fazer chamadas de API em nome desse usuário.

Existe um problema de redirecionamento aberto e cross-site scripting que permite a atacantes remotos controlar os destinos após o login e o logout. Isso é feito através da manipulação dos parâmetros `goto` e `gotoOnFail`. Atacantes podem criar links de login ou logout maliciosos para redirecionar usuários para sites de phishing ou executar scripts no XUI para roubar cookies de sessão.

Existe um problema durante o auto-registro onde o sistema falha em impor a lista de Atributos de Criação Válidos. Isso permite que invasores anônimos definam atributos restritos, como a associação a grupos, utilizando o endpoint REST de autoatendimento legado ou o fluxo de Autoatendimento do Usuário. Ao manipular esses atributos, um invasor pode ingressar em grupos administrativos e obter controle administrativo total do sistema.

Um problema de redirecionamento aberto existe porque o `RelayState` não é validado quando nenhuma `relayStateUrlList` está configurada. Isso permite que atacantes criem links de login único contendo um `RelayState` malicioso para redirecionar usuários da origem confiável para sites de phishing externos e ignorar filtros de URL.

Existe um problema de autorização incorreta que permite que usuários de registros infiram valores de campos restritos. Isso ocorre porque o planejador de streaming utiliza índices em campos que possuem permissões de SELECT restritivas. Um invasor pode explorar isso executando consultas MATCHES de texto completo, B-tree compostas ou KNN HNSW (Hierarchical Navigable Small World, um índice baseado em grafo para busca de vizinhos mais próximos aproximados) contra esses campos restritos para determinar se os registros contêm valores adivinhados específicos ou vetores mais próximos.

Existe uma falha de bypass de autorização na função `isFaqAccessibleForUser()`, que trata incorretamente traduções de FAQ ausentes como visíveis para usuários não autenticados. Ao enviar um cabeçalho Accept-Language incompatível para os endpoints de API de comentários e anexos, invasores podem ler comentários e listagens de anexos de FAQs não publicados ou restritos por ACL. Access Control List (ACL) é um mecanismo usado para definir quais usuários ou processos do sistema têm permissão de acesso a objetos em uma rede.

Um problema de divulgação de informações permite que usuários de registros acessem valores ocultos por permissões de SELECT em nível de campo. Isso é feito acessando campos COMPUTED que derivam seus valores desses campos ocultos. Além disso, invasores podem expor valores ocultos usando cláusulas RETURN de gravação com as variáveis `$before` e `$after`.

O codificador CUT carece de uma verificação de política de segurança, o que permite a evasão de políticas de segurança configuradas. Um invasor pode fornecer entradas especialmente manipuladas para serem processadas pelo codificador CUT, podendo causar a interrupção do aplicativo ou o vazamento de dados sensíveis.

Um problema de redirecionamento aberto existe onde atacantes não autenticados podem redirecionar usuários ao fornecer um `id token hint` não verificado para o endpoint '/oauth2/connect/endSession'. Ao especificar qualquer cliente de realm em um hint forjado, atacantes podem redirecionar vítimas para qualquer URI de pós-logout registrada, o que pode ser usado para facilitar ataques de phishing aproveitando a confiança associada ao host do OpenAM.

Um defeito de cross-site scripting existe onde a mensagem SAML, o estado de retransmissão (relay state) e a URL de destino são inseridos sem codificação na página de auto-envio de bounce de cookie do balanceador de carga. Este problema é acessível quando a configuração `cookieHashRedirectEnabled` está ativada, permitindo potencialmente a execução de scripts na origem do OpenAM. No entanto, uma falha HTTP 500 não relacionada impede a exploração nas versões lançadas.

Um problema de injeção de conteúdo de e-mail permite que atacantes não autenticados controlem a redação de e-mails de notificação. Isso é possível por meio das ações `forgotPassword` e `register` no endpoint '/json/{realm}/users'. Ao fornecer os campos `subject` e `message`, os atacantes podem enviar e-mails de phishing usando o endereço de remetente configurado da organização ou usar o processo de registro como um relé para enviar e-mails para destinatários arbitrários.

Um problema de server-side request forgery (SSRF) existe onde atacantes com permissões para registrar ou modificar clientes OAuth 2.0 podem forçar o servidor a buscar recursos internos. Isso ocorre através do uso de uma variável `jwks uri` não validada. Ao utilizar a autenticação de cliente e a validação de token de ID, buscas não autenticadas podem ser disparadas para sondar hosts internos, endpoints de metadados ou arquivos locais, ou para causar a negação de serviço através do esgotamento de threads de requisição.

O software falha ao aplicar o limite `VLLM MAX AUDIO CLIP FILESIZE MB` durante a decodificação de áudio de chat multimodal. Isso permite que clientes não autenticados ignorem as restrições de tamanho de arquivo ao enviar arquivos de áudio excessivamente grandes através de endpoints de chat, resultando no consumo excessivo de memória e recursos de CPU durante o processo de decodificação.

Existe uma falha de bypass de política no codificador UHDR que não realiza verificações de política durante a alocação de buffer para pixels de imagem. Um invasor pode ignorar as políticas de recursos ao processar imagens UHDR especialmente manipuladas, o que pode levar a uma negação de serviço devido à alocação excessiva de memória.

Uma falha de divisão por zero existe no codificador FLIF. Ao processar uma imagem com um valor incorreto de ticks por segundo, o codificador trava, resultando em uma negação de serviço.

O software utiliza um gerador de números pseudo-aleatórios criptograficamente fraco para criar códigos de ativação de conta e emparelhamento de login. A função `getRandomCode()` em `objects/functions.php` deriva os códigos de `uniqid()`, que utiliza segundos e microssegundos, com um único caractere `rand()` para preenchimento. Isso reduz significativamente os valores de código possíveis para um segundo de geração conhecido. O endpoint 'plugin/API/set.json.php?APIName=login code' pode ser acessado sem autenticação e atua como um oráculo para o microtime exato do servidor. Um invasor remoto não autenticado que adivinhe um código válido e não expirado pode usar o endpoint 'plugin/API/get.json.php?APIName=login code' para recuperar o endereço de e-mail da conta alvo e um valor `User::getUserHash(users id, '+1 year')`. Este hash é aceito como senha por um ano, permitindo a invasão total da conta.

O software utiliza valores `uniqid()` criptograficamente fracos para chaves de publicação RTMP em LiveTransmition. Isso reduz a entropia da chave para aproximadamente um milhão de possibilidades por segundo de criação. Um invasor com conhecimento do horário de criação do canal pode realizar força bruta no componente de microssegundos de cinco dígitos para forjar chaves de transmissão válidas e transmitir conteúdo como o proprietário do canal.

Usuários autenticados podem votar em vídeos protegidos por senha e restritos a grupos, pois o sistema falha ao validar as permissões de acesso ao vídeo no endpoint de curtidas da API. Isso permite que atacantes incrementem os contadores de votos em vídeos que não têm permissão para assistir, chamando o endpoint 'set.json.php' com parâmetros `APIName`.

Usuários autenticados podem postar comentários em vídeos protegidos por senha e restritos a grupos porque o software falha ao verificar as permissões de acesso ao vídeo na função `set api comment()`. Isso permite que invasores enviem solicitações POST para o endpoint de API de comentários usando IDs de vídeo arbitrários para escrever comentários em vídeos que não têm permissão para assistir.