Santoshkumarpuppala

Usuários autenticados com as funções U/user, D/domain-admin ou H/host podem liberar ou excluir permanentemente e-mails em quarentena pertencentes a outros usuários ou domínios. Isso ocorre porque o endpoint 'mailscanner/quarantine action.php' chama a função `quarantine list items()` em 'mailscanner/functions.php', que recupera dados do `maillog` usando um `id` fornecido sem aplicar o `global filter` por função exigido. Como os identificadores de mensagem são enumeráveis e a propriedade não é verificada, um usuário de baixo privilégio pode acionar as funções `quarantine release()` ou `quarantine delete()` para mensagens que não lhe pertencem.

Usuários convidados podem aprovar ou rejeitar orçamentos pertencentes a qualquer cliente, independentemente de sua atribuição. No controlador de Orçamentos de Convidados localizado em `application/modules/guest/controllers/Quotes.php`, os métodos `approve()` e `reject()` chamam `approve quote by id($quote id)` e `reject quote by id($quote id)` sem implementar o escopo de cliente necessário. Isso permite que um usuário convidado altere o status do orçamento de outro cliente fornecendo valores inteiros sequenciais de `quote id`, o que também dispara e-mails de notificação via `email quote status()`. Além disso, a função `generate pdf()` chama `mark viewed($quote id)` antes de verificar o escopo do cliente, permitindo que usuários convidados marquem orçamentos de outros clientes como visualizados.

O manipulador de comando JSON `udevices`, `Cmd UpdateDevices` em `main/WebServerCmds.cpp`, não realiza a verificação `session.rights` antes de invocar um script de análise Lua. Um usuário autenticado com baixos privilégios pode acionar a execução de um script de análise Lua já instalado pelo operador usando entrada controlada pelo invasor através do endpoint `GET /json.htm` com `type=command` e `param=udevices`. Além disso, o parâmetro `script` carece de uma proteção contra traversal de caminho em `CLuaHandler::executeLuaScript` em `main/LuaHandler.cpp`, que constrói o nome do arquivo a partir do diretório do analisador e o nome do script fornecido antes de passá-lo para `luaL loadfile`. A execução é limitada a arquivos Lua válidos já instalados.

Existe um problema onde um token de API de não-superusuário com acesso de leitura a um único ObjectType pode acessar o registro versionado completo de objetos pertencentes a qualquer outro ObjectType. Isso ocorre através do endpoint `GET /api/v2/objects/{uuid}/{index}`. A ação `history detail` em `src/objects/api/v2/views.py` ignora verificações de permissão necessárias ao chamar `self.get queryset()` e `get object or 404` em vez de `self.get object()`, o que impede a execução de `check object permissions` e da verificação `ObjectTypeBasedPermission.has object permission`. Consequentemente, os `data` de objetos versionados, que podem incluir registros sensíveis de cidadãos ou casos, podem ser expostos.

Certos endpoints falham ao aplicar verificações de permissão adequadas. Isso permite que usuários autenticados acessem e leiam dados financeiros que excedem as permissões concedidas ao seu cargo atribuído.

Usuários da equipe com as funções de Editor ou Super Editor podem atribuir sua própria função a usuários com as funções de Autor ou Colaborador, ignorando as restrições de permissão pretendidas.

O Ghost não restringe corretamente a atribuição de funções de equipe. Isso permite que usuários autenticados com a função de Editor ou Super Editor atribuam sua própria função a outros membros da equipe, apesar de não possuírem as permissões necessárias. Consequentemente, um Editor ou Super Editor pode promover usuários com as funções de Autor ou Colaborador para Editor ou Super Editor.

Um problema de injeção de SQL existe no construtor de filtros de análise devido à validação insuficiente dos identificadores de coluna do filtro `profile.*` antes de serem interpolados em cláusulas WHERE do ClickHouse. Um invasor autenticado com credenciais de leitura de escopo de projeto ou de exportação de root pode executar SQL arbitrário do ClickHouse. Isso permite que o invasor ignore o isolamento do projeto e acesse dados de análise e PII (Informações de Identificação Pessoal) de perfil de outras organizações usando técnicas de oráculo booleano cego, um método de extração de dados fazendo perguntas de verdadeiro/falso ao banco de dados com base na resposta da aplicação.

O arquivo `index.js` não normaliza a variável `options.fileName` usando `path.basename()` ao construir um caminho de sistema de arquivos via `path.join(tempDir.name, fileName)`. Isso permite que um chamador forneça um nome de arquivo contendo sequências de travessia de caminho como `../`, possibilitando a gravação de um buffer de documento em caminhos arbitrários graváveis pelo processo, como arquivos `authorized keys` do SSH, configurações de cron ou raízes web.