Seungbin Yang

Existe um controle de acesso quebrado no fluxo de atualização do gerenciamento de frontend. O sistema verifica um evento diferente daquele que está sendo modificado, permitindo que um usuário com acesso ao gerenciamento de eventos de frontend modifique eventos pertencentes a outros organizadores.

Existe um controle de acesso quebrado nas ações de edição, atualização e ativação do frontend. A extensão resolve o registro do clube alvo a partir de um argumento de requisição fornecido pelo usuário, mas não realiza a verificação de propriedade. Consequentemente, um visitante não autenticado que conheça o UID de um registro de clube pode enviar uma requisição direta para a ação de atualização ou ativação para sobrescrever o registro ou publicar um que esteja aguardando aprovação sem possuí-lo.

O recurso de edição de autoatendimento de empresas falha ao realizar a verificação de propriedade no lado do servidor durante operações de gravação. Embora o frontend utilize uma flag de visibilidade para ocultar o formulário de edição de usuários não autorizados, o servidor não valida se o visitante é o proprietário do registro da empresa que está sendo modificado. Um invasor que obtenha o identificador de um registro de empresa no diretório público pode enviar uma solicitação de atualização modificada para sobrescrever os dados do registro.

O fluxo de edição de tópicos no frontend não realiza a verificação no lado do servidor para garantir que o visitante solicitante seja o proprietário do tópico modificado. Um invasor pode obter o identificador de um tópico no fórum público e enviar uma solicitação de atualização modificada para sobrescrever o conteúdo desse tópico. Este problema não requer acesso privilegiado ou configuração não padrão.

O plugin de gerenciamento de frontend contém um problema de controle de acesso quebrado. O sistema atribui um evento recém-criado ao registro do organizador do usuário remetente apenas se a solicitação não especificar um organizador. Como a verificação de permissão apenas confirma que o usuário remetente possui qualquer função de organizador, um usuário com acesso ao gerenciamento de eventos no frontend pode criar um evento e atribuí-lo a outro organizador.

A busca de documentos na visualização de detalhes do frontend não aplica o filtro `siteHash` do site atual nem o filtro de acesso do usuário do frontend. Isso difere do caminho de busca regular, permitindo que um visitante que obtenha ou adivinhe um id de documento Solr válido recupere documentos sem as restrições de acesso aplicadas em outras partes.

A extensão permite que um parâmetro `additionalFilters` fornecido na requisição registre um filtro `siteHash` nomeado antes que o próprio filtro `siteHash` do sistema seja aplicado. Como o construtor de consultas não sobrescreve um filtro nomeado já registrado, um visitante pode ler documentos públicos pertencentes a outro site em um núcleo Solr compartilhado que atende a múltiplos sites TYPO3. Este problema também afeta o caminho de resultados principais de sugestão quando a função de sugestão está habilitada.

A extensão falha ao restringir quais grupos de usuários do frontend um usuário autenticado pode atribuir à sua própria conta quando o plugin de edição de perfil utiliza a configuração de campo padrão. Essa falha permite a escalada de privilégios via autoatendimento para grupos arbitrários do frontend.

A extensão não exige um token de confirmação de administrador dedicado ao processar solicitações de aprovação de administrador. Isso permite que um usuário comum autoaprove uma conta pendente usando um hash de confirmação de usuário, que pode ser obtido por qualquer visitante através da ação pública de reenvio de confirmação.

Um usuário autenticado do backend com acesso ao módulo Mask pode realizar path traversal, uma técnica utilizada para acessar arquivos e diretórios que são restritos ao usuário. A extensão falha ao validar uma chave de elemento de template fornecida pelo cliente, utilizada para construir caminhos de arquivo para salvar e excluir arquivos de template do Mask. Ao fornecer uma chave contendo sequências de path traversal, um invasor pode criar ou excluir arquivos .html fora do diretório de templates configurado.

Existe um controle de acesso quebrado na extensão onde o HMAC (Hash-based Message Authentication Code, um mecanismo para verificar a integridade e autenticidade dos dados) de um link de edição de funcionário no frontend é validado apenas ao renderizar o formulário de edição, mas não ao persistir as alterações. Um visitante não autenticado que conheça o UID de um registro de funcionário visível pode enviar uma requisição POST direta para a ação de atualização para sobrescrever esse registro sem um link de edição válido ou verificação de propriedade.

O parsing OOXML do indexador de arquivos não desabilita a resolução de entidades externas. Isso permite que um invasor utilize um documento xlsx ou pptx especialmente criado e colocado em um diretório indexado para disparar uma injeção de Entidade Externa XML (XXE)—um processo onde uma aplicação processa entidades externas dentro de um documento XML. Isso pode resultar na leitura de arquivos locais ou na execução de requisições HTTP externas, com o conteúdo recuperado sendo gravado no índice de pesquisa.

A configuração `additional tables` dos indexadores de página e tt content aceita nomes de tabelas e campos arbitrários. Um usuário de backend com permissão para editar configurações de indexadores pode explorar isso para copiar dados sensíveis de tabelas internas para o índice de pesquisa.

O indexador de arquivos não normaliza o caminho do diretório configurado. Isso permite que um usuário de backend com permissões para editar configurações do indexador indexe documentos de locais arbitrários no sistema de arquivos do servidor por meio de sequências de path traversal, que são caracteres usados para navegar na hierarquia de diretórios para acessar arquivos fora da pasta pretendida.

Os fluxos de criação e edição não restringem as propriedades de usuário enviadas e não aplicam controle de acesso na atribuição de grupos de usuários do frontend. Isso permite que um invasor atribua um grupo de usuário de frontend arbitrário a uma conta recém-registrada ou editada, obtendo acesso não autorizado a conteúdos e funcionalidades restritos a grupos de usuários de frontend privilegiados.