Secur0 Cna

Improper Handling of Highly Compressed Data (CWE-409) in the ZIP loader of whatstk from 0.7.0 before 0.9.0 allows a party that supplies a chat export to exhaust the memory and the disk of the process that parses it, because str from file() (whatstk/whatsapp/parser.py) calls zip ref.extractall() with no bound on the size of the members and no check of the compression ratio, then reads the extracted file in full with f.read(). The only guard on the archive counts the extracted files and raises when there is not exactly one, but it runs after extractall() has already written them, so it does not prevent the cost. clean text() then passes the whole text through unicodedata.normalize("NFKD", text), which holds a second copy, and the parse builds a list of regular expression matches and a DataFrame over it, so peak memory is a multiple of the decompressed text rather than of the archive. A ZIP is a documented input of WhatsAppChat.from source() and df from whatsapp(), and is the form in which WhatsApp exports a chat on iOS, so the attacker supplies the whole file. This results in a small upload costing hundreds of megabytes of memory and of disk, and in the process being killed where that exceeds what is available.

Inefficient Regular Expression Complexity (CWE-1333) in generate regex() (whatstk/whatsapp/parser.py) in whatstk from 0.2.0 before 0.9.0 allows a party that supplies a chat export to consume the CPU of the process that parses it for an unbounded time, because the function builds the header regular expression by replacing each %x code with its named capture group and leaves every other character of the header format in the pattern unescaped. A header whose date separator is a regular expression metacharacter therefore alters the pattern instead of matching itself: a separator of + quantifies the preceding capture group, giving (?P<day>d{1,2})+(?P<month>d{1,2})+(?P<year>d{2,4}), and a run of digits that cannot complete the header then makes the engine try every way of partitioning that run. Header auto detection is enabled by default and derives the format from the text of the file, so the separator is taken from the export itself and no header format has to be passed by the caller. Separators of (, ) and instead raise re.PatternError, separators of *, | and ? raise TypeError, and separators of ^ and $ raise KeyError, none of which the library catches. This results in the parse of a file of a few hundred bytes consuming CPU without completing, or in an uncaught exception in the calling program.

Incomplete Comparison with Missing Factors (CWE-1023) in merge chats() (whatstk/utils/chat merge.py), reached from BaseChat.merge(), in whatstk from 0.3.0 before 0.9.0 allows a party that supplies the chat exports to cause messages to be absent from the merged output with no indication that anything was removed, because the merge keeps whole the chat whose first message is oldest and appends from the other only the messages that are strictly newer than the last message of the first. Every message of the second chat that falls inside the date range already covered by the first is therefore discarded. The two chats are compared on their date ranges and not on the identity of the individual messages, so a message held by only one of the two exports is dropped whenever its date falls inside the range of the other, and both branches of merge two chats() behave this way. The merged result is returned without a warning and without a count of what was removed. This results in a merged chat that omits messages the inputs contain, in a library whose documented uses include forensic review and the generation of training data.

Existe uma falha de bypass de autorização nos repositórios de carrinho e lista de desejos. Usuários autenticados podem excluir ou modificar entradas de carrinho e lista de desejos pertencentes a outros usuários. Isso ocorre porque as funções `cartRepository.delete()`, `cartRepository.updateQuantityInternal()` e `wishlistRepository.delete()` correspondem às linhas usando apenas a chave primária, sem verificar o usuário proprietário. Embora o sistema implemente o row level security (RLS) do PostgreSQL — um recurso de segurança que restringe quais linhas um usuário pode ver ou modificar com base em uma política — as políticas não são aplicadas porque a aplicação se conecta ao banco de dados usando a mesma função que possui as tabelas. Como o PostgreSQL não aplica políticas de RLS ao proprietário da tabela por padrão, as restrições são ignoradas. Além disso, o uso de valores `bigserial` sequenciais para `cart items.id` e `wishlist.id` permite que invasores enumerem identificadores de dados de outros usuários.

Uma falha de autorização na API de usuário permite que um usuário com função básica acesse contas de outros usuários da mesma empresa, incluindo contas com privilégios superiores. Em versões 3.5.0 e posteriores, isso também permite a exclusão de tais contas. O problema ocorre porque os endpoints 'GET /api/user/{id}' e 'DELETE /api/user/{id}' apenas verificam a validade de um JSON Web Token através do middleware `auth:api`, sem verificar permissões, políticas ou funções específicas nas funções `UserReadController::read()` e `UserDeleteController::delete()`. Embora o acesso seja geralmente limitado por empresa, o processo de exclusão ignora a verificação de empresa se o usuário autenticado pertencer à `Company::DEFAULT COMPANY`, permitindo que um usuário básico nessa empresa exclua qualquer conta em toda a instalação. Isso pode levar à exposição de dados pessoais, como endereços de e-mail, números de telefone, endereços postais e IBANs, e a potencial remoção da última conta administrativa de uma empresa.

Um problema no fluxo de carrinho e checkout permite que um usuário autenticado seja cobrado por um produto enquanto solicita outro. O endpoint 'POST /api/user/cart' aceita `variantId` e `stripeId` como campos independentes do corpo da requisição sem verificar se o `stripeId` pertence ao `variantId` especificado. Posteriormente, o endpoint 'POST /api/stripe/payment' utiliza o `stripeId` armazenado para determinar o valor da cobrança. Por fim, o webhook checkout.session.completed cria o pedido com base no `variantId`, resultando em pedidos de itens caros pelo preço do item mais barato do catálogo.

No Windows, existe um problema de traversal de caminho na função `execute obj()` do visualizador de objetos de arquivo (`peach.pas`). Um invasor pode executar um programa arbitrário já presente no sistema da vítima ao convencê-la a visualizar a entrada de um arquivo manipulado usando a ação "Preview with... -> Associated application" (Shift+Ctrl+O). O problema ocorre porque a função `checkfiledirname()` em `list utils.pas` não realiza uma verificação de contenção de caminho "..", permitindo que a variável `tempstring` — extraída diretamente do nome da entrada do arquivo — escape do diretório temporário de extração ao ser concatenada com `outname`. Este caminho resolvido é então passado para `ShellExecuteW` via `cp open()`. Além disso, o aviso de confirmação de extensão perigosa está ausente nesta rota de visualização específica, permitindo que executáveis sejam executados sem aviso. Este comportamento foi confirmado em múltiplos formatos de arquivo, incluindo .zip e .tar.

Existe um problema no visualizador de objetos de arquivo dentro da função `grid obj open` do arquivo `peach.pas` no Windows. O software utiliza uma lista pré-definida chamada `SECEXTCONST` para determinar se um diálogo de confirmação deve ser exibido antes de executar um arquivo. Como essa lista está incompleta e depende de comparações exatas de strings, ela não considera outros tipos de arquivos executáveis pelo shell e hosts de script processados pelo `ShellExecuteW`, como arquivos `.url` e `.lnk`. Um invasor pode explorar isso convencendo um usuário a abrir um arquivo compactado manipulado contendo um Atalho de Internet do Windows (.url) ou um atalho (.lnk) direcionado ao `cmd.exe` com argumentos arbitrários. Isso permite a execução de programas ou comandos com os privilégios do usuário que abriu o arquivo, sem qualquer prompt de confirmação. O shell também pode resolver caminhos UNC nomeados pelo invasor, permitindo potencialmente o direcionamento de payloads remotos.

Uma gravação fora dos limites (out-of-bounds write) existe na rotina de extração de arquivos PEA, dentro da função `unpea procedure` do arquivo `pea.pas`. O problema ocorre ao descompactar um fluxo PCOMPRESS1, onde o campo de tamanho de bloco compactado de 32 bits do primeiro bloco (`compsize`) é lido do arquivo e usado sem validação como o comprimento de uma leitura de bloco nos buffers globais de tamanho fixo `wbuf1` e `wbuf2` (1.114.112 bytes). Isso permite que o primeiro bloco ignore a verificação `compsize > WBUFSIZE`, resultando em uma leitura fora dos limites em um deslocamento escolhido pelo invasor via `wbuf1[compsize]`. Além disso, o loop de cópia utiliza o comprimento solicitado em vez do número de bytes efetivamente lidos e termina na igualdade, em vez de em um limite superior. Essa corrupção de memória pode ser acionada ao abrir ou extrair um arquivo .pea manipulado, permitindo potencialmente a execução de código arbitrário com os privilégios do usuário que executa o aplicativo nas plataformas Windows, macOS, Linux e BSD.

A ausência de autenticação na Server Action de revalidação de cache de produtos permite que um invasor remoto não autenticado force a expiração de todo o cache de produtos da loja. A função `revalidateProducts()` em `src/app/actions.ts` chama `updateTag("products")` sem realizar verificações de sessão ou função. Como o arquivo utiliza a diretiva "use server", a função é compilada em uma Server Action invocável via POST. O ID da ação é exposto em um chunk público `/ next/static`, que não é protegido pelo middleware de administração em `proxy.ts`. Quando o `cacheComponents` está habilitado, a loja depende de entradas em cache de `getAllProducts()`, `getCategoryProducts()` e `getProduct()`. A invocação repetida da ação vulnerável mantém o cache frio, forçando a aplicação a ler todo o catálogo de produtos do banco de dados Postgres para cada requisição, o que degrada a disponibilidade da loja.

Um problema de Use After Free existe no caminho de origem de arrastar do protocolo de arrastar e soltar. Um programa que escreva no terminal pode fazer com que o terminal leia e escreva em memória heap liberada. Isso ocorre porque a função `drag remote file data()` em `kitty/dnd.c` mantém um ponteiro `DragRemoteItem` para um array que não lhe pertence. Quando `toplevel data for drag()` ou `subdir data for drag()` são chamadas, elas podem acionar a macro `abrt()` via `add payload()` ou `populate dir entries()`. A macro `abrt()` executa `cancel drag()`, que chama `drag free offer()` para liberar o array. Como as funções auxiliares retornam void, o chamador não é informado sobre a desmontagem e prossegue para chamar `all children complete()` usando o ponteiro liberado, resultando em comportamento indefinido no processo do terminal. Isso é acessível através do fluxo de bytes de qualquer programa executado na janela.

Um problema no manipulador de códigos de escape de controle de cor permite que um programa que escreva no terminal execute comandos arbitrários no shell do usuário. Isso ocorre porque a função `color control()` em `kitty/window.py` inclui nomes de campos não reconhecidos em sua resposta, que a função `write escape code to child()` em `kitty/screen.c` então escreve no mestre do pseudoterminal. Como a saída não é neutralizada para o shell, ela é indistinguível da entrada do usuário. Embora as cargas úteis sejam reduzidas a ASCII imprimível e certos delimitadores sejam consumidos, caracteres suficientes sobrevivem para compor um comando de shell. Além disso, a função `handle remote ssh()` em `kitty/window.py` fornece uma nova linha via `get ssh data()` em `kittens/ssh/utils.py` antes que as credenciais sejam verificadas, facilitando a execução de comandos escolhidos por um invasor com os privilégios do usuário que executa o terminal.

A falta de autorização no manipulador de código de escape askpass permite que um usuário local obtenha o texto digitado em um prompt exibido pelo terminal. A função `handle remote askpass()` em `kitty/window.py` abre um objeto de memória compartilhada POSIX nomeado no código de escape, analisa uma definição de prompt e grava a resposta do usuário de volta em um objeto com o mesmo nome, sem verificar a propriedade ou as permissões. Um invasor pode criar um objeto de memória compartilhada, fazer com que o terminal da vítima renderize um prompt personalizado (como um prompt de senha mascarada) via uma string de controle de dispositivo e, posteriormente, ler o segredo digitado. Além disso, o texto do prompt é passado para a exibição sem a sanitização de caracteres de controle, permitindo que ele sobrescreva a linha de aviso impressa pelo software.

A resolução inadequada de links no caminho de encenação da fonte de arrasto do protocolo de arrastar e soltar permite que um programa que escreva no terminal crie arquivos e diretórios fora do diretório de encenação. Isso ocorre porque a função `subdir data for drag()` em `kitty/dnd.c` resolve descendentes da árvore de itens encenados construindo uma string de caminho e abrindo-a com `safe open(path, O DIRECTORY | O RDONLY, 0)` em vez de percorrer a árvore componente por componente. Um invasor pode declarar duas entradas com o mesmo nome — primeiro um link simbólico apontando para um caminho absoluto arbitrário e, em seguida, um diretório — fazendo com que o `mkdirat()` falhe com EEXIST. O código ignora essa falha, levando a resolução de caminho subsequente a seguir o link simbólico e retornar um descritor de diretório fora do diretório de encenação. Este descritor é então passado como o argumento `dirfd` para `add payload()` e usado para todas as operações de criação subsequentes. Embora os nomes das entradas sejam sanitizados, os alvos dos links simbólicos não são validados. Arquivos são criados com O CREAT | O WRONLY | O EXCL no modo 0644, impedindo a sobrescrita de arquivos existentes, mas diretórios são criados com `mkdirat()` no modo 0755, permitindo a criação de novos diretórios intermediários em qualquer caminho gravável pelo usuário que executa a aplicação, desde que o alvo do link simbólico seja um diretório existente.

Existe uma gravação fora dos limites (out-of-bounds write) no ramo de largura natural do protocolo de dimensionamento de texto. A função `screen handle multicell command()` em `kitty/screen.c` anexa cada codepoint de um cluster de grafemas usando `lc.chars[lc.count++] = ch` sem realizar uma verificação de capacidade. Como `lc` é declarado como um array `char type` de quatro elementos através da macro `RAII ListOfChars`, um código de escape OSC 66 cujo payload contenha um cluster de grafemas com mais de quatro codepoints grava além do buffer. Caso o cluster seja precedido por uma sequência que cause um flush intermediário, o buffer é migrado para o heap por `ensure space for chars()`, e a gravação ocorre além da alocação do heap. Isso resulta na terminação do processo kitty e, consequentemente, de todas as suas janelas, abas e processos filhos.

Uma falha de autorização existe no processamento do protocolo de arrastar e soltar (drag and drop). Um programa que escreva no terminal pode obter o conteúdo de arquivos arrastados sobre a janela, mesmo que o usuário não complete a ação de soltar. Isso ocorre porque a função `drop enqueue request()` em `kitty/dnd.c` atende a solicitações de dados de arrasto sem verificar o estado de soltura da janela, permitindo que um cliente receba dados enquanto o item está apenas pairando. Além disso, a função `drop left child()` não limpa o estado de solicitação pendente, descritores de arquivo abertos, handles de diretório e listas de URI quando o item arrastado deixa a janela. Consequentemente, um cliente pode continuar a leitura através de um handle de diretório retido ou manter um fluxo de transferência de arquivo ativo após o término do arrasto. O processo do kitty lê o conteúdo dos arquivos diretamente do sistema de arquivos usando os caminhos fornecidos pela origem do arrasto, resultando na divulgação não autorizada do conteúdo dos arquivos.

A ausência de autenticação no manipulador de busca de sessão de checkout permite que um invasor remoto não autenticado recupere objetos de sessão completos. Ao fornecer um ID de Sessão de Checkout do Stripe válido, um invasor pode acessar informações confidenciais do comprador, incluindo nome, e-mail, telefone, endereço de cobrança, valor pago e o `userId` interno. Isso ocorre porque o manipulador GET chama a função `stripe.checkout.sessions.retrieve()` e retorna os dados sem verificar a autenticação do usuário ou a propriedade da sessão. O ID da sessão é frequentemente exposto na URL do navegador após o pagamento, tornando-o suscetível a vazamentos por meio de cabeçalhos Referer, ferramentas de análise, logs de acesso ao servidor e histórico do navegador. O endpoint de API afetado é GET '/api/stripe/checkout sessions'.

Ocorre Cross-Site Request Forgery (CSRF) no `OrderConfirmController` no endpoint 'GET /order/confirm/{order number}'. Este problema surge porque a declaração `Route::get` permite que ações de alteração de estado ignorem o middleware `VerifyCsrfToken`, que impõe tokens apenas em requisições POST, PUT, PATCH e DELETE. Como os cookies de sessão com `SameSite=Lax` são incluídos na navegação cross-site de nível superior, um invasor não autenticado pode enganar um usuário autenticado para clicar em um link manipulado e acionar a função `confirm()`. Isso altera o status dos pedidos de pendente para confirmado sem autorização. Além disso, como a variável `order number` utiliza inteiros sequenciais, um invasor pode enumerar e confirmar todos os pedidos existentes.

Um problema de upload de arquivo irrestrito existe no recurso de upload de fotos de produtos. Um usuário autenticado com permissão para criar produtos, como a função de Vendedor, pode executar JavaScript arbitrário na origem da aplicação. O sistema valida os arquivos com base em magic bytes (assinaturas de conteúdo) e rejeita apenas uma lista específica de extensões PHP. No entanto, a função `ProductSaveController::save()` utiliza a extensão fornecida pelo cliente ao salvar o arquivo na raiz pública da web. Consequentemente, um arquivo que contenha um cabeçalho de imagem, mas utilize uma extensão HTML, pode ser enviado para `public/asset/upload/product/` e servido como `text/html`, resultando em cross-site scripting (XSS) armazenado, onde um script malicioso é permanentemente armazenado no servidor e executado no navegador dos usuários que visualizam o arquivo.

Existe um problema no recurso de upload de logotipo da empresa onde o sistema falha em restringir o upload de tipos de arquivos perigosos. Um usuário autenticado com permissões para criar ou atualizar empresas pode fazer o upload de um documento SVG contendo um elemento de script incorporado, levando à execução de JavaScript arbitrário na origem da aplicação.