Seankohjs

O endpoint `/credentials/signurl` utiliza incorretamente o cabeçalho HTTP `X-Rucio-Account` para determinar a autorização em vez da identidade da conta armazenada no token autenticado. Um usuário autenticado com baixos privilégios pode fornecer `root` como valor para o cabeçalho `X-Rucio-Account` para ignorar a verificação de permissão `get signed url()`, que é restrita a usuários root. Isso permite que o invasor obtenha uma URL pré-assinada de leitura, gravação ou exclusão para qualquer objeto arbitrário usando as credenciais S3, GCS ou Swift armazenadas no servidor Rucio. Além disso, em implantações multi-VO, o cabeçalho `X-Rucio-VO` pode ser usado para acessar outros locatários. Isso resulta em divulgação, modificação, exclusão de dados não autorizada e acesso entre locatários em RSEs baseados em nuvem.

Um problema de complexidade algorítmica existe na função `parse link text()` do analisador de links inline. Atacantes não autenticados podem causar exaustão de CPU ao enviar Markdown contendo inúmeros caracteres '[' ou '![' desbalanceados. Isso desencadeia varreduras frontais ilimitadas repetidas, que podem ocupar os processos de trabalho por vários minutos.

Existe um problema na correspondência de prefixo da configuração `trust` em `copier/ settings.py`, onde a URL do template é comparada com um prefixo confiável usando `str.startswith` sem normalização de caminho. Como a URL é normalizada durante o processo de busca real (usando `Path.resolve()` para caminhos locais e remoção de segmentos de ponto do libcurl para HTTPS), uma referência de template contendo `..` que textualmente comece com um prefixo confiável pode receber a confiança. Isso permite que um template controlado por um invasor execute `tasks`, `migrations` ou `jinja extensions` sem o prompt `--trust`, resultando na execução arbitrária de comandos.

Um problema de cross-site scripting existe na função `to markdown()`. O problema ocorre porque os spans de código inline não reconhecem linhas em branco como limites de bloco. Isso permite que atacantes injetem linhas em branco no texto de elementos code ou pre para quebrar o span inline, resultando na emissão de HTML sanitizado sem escape e, subsequentemente, no reprocessamento como Markdown ativo por renderizadores compatíveis.

O servidor da API do Docker não aplica verificações de destino de Server-Side Request Forgery (SSRF) no caminho de streaming. Um cliente remoto não autenticado pode explorar isso chamando o endpoint 'POST /crawl/stream' ou o endpoint 'POST /crawl' com a variável `crawler config.stream` definida como true. A função `handle stream crawl request()` passa URLs semente diretamente para o crawler sem validação, permitindo que o servidor busque e transmita corpos de resposta de endereços internos, privados ou link-local.