Skeletonsec

Usuários de estação com baixos privilégios podem realizar uma injeção de CRLF, que ocorre quando caracteres de retorno de carro (CR) e alimentação de linha (LF) são manipulados incorretamente, permitindo que um invasor insira novas linhas em um documento. Usuários com permissões `Station:MountPoints` ou `Station:RemoteRelays` podem incorporar essas sequências nos valores de `display name` de montagens ou relés remotos. Isso permite a injeção de linhas `FileN=` e `TitleN=` no arquivo público `playlist.pls`, podendo redirecionar ouvintes convidados para transmissões controladas pelo invasor sob o nome da estação vítima.

Ao analisar um gráfico Helm enviado, o software descompacta o arquivo e lê cada entrada tar procurando por `Chart.yaml` sem limitar o tamanho descompactado. Esse processo ocorre antes da verificação da cota de tamanho do pacote, pois a cota considera apenas o tamanho do upload compactado. Um usuário com acesso de gravação de pacotes pode enviar arquivos pequenos e altamente compactados, fazendo com que o servidor consuma tempo de CPU proporcional ao tamanho descompactado, o que prejudica a disponibilidade da instância. Este problema não permite a execução de código ou o acesso a dados.

Um problema de SQL Injection existe no endpoint da API de dados do widget do painel '/api/data/{type}'. Isso ocorre porque os parâmetros de filtro de gráfico fornecidos pelo cliente não são devidamente validados antes de serem usados em consultas ao banco de dados que geram dados de gráficos do painel. Um usuário autenticado com acesso à API pode usar blind SQL injection—uma técnica usada para recuperar dados de um banco de dados fazendo perguntas de verdadeiro/falso—para ler informações arbitrárias do banco de dados, incluindo detalhes de contato, dados de marketing e hashes de senha de contas de usuário. Além disso, o SQL injetado pode ser usado para desacelerar as consultas, impactando potencialmente a disponibilidade. A modificação de dados não é possível, e a exploração requer que a API do Mautic esteja habilitada.

Existe uma falha de bypass de autenticação onde os códigos de verificação não são invalidados para usuários ativos após o uso. Um invasor que obtenha um código de verificação enviado por e-mail pode enviá-lo para o endpoint 'users/set-password' após a vítima já ter verificado a alteração de e-mail. Isso permite que o invasor redefina a senha e assuma o controle da conta. O problema ocorre porque o endpoint 'users/verify-email' não invalida o código adequadamente.

A função `UnTar. safe extractall` em `src/pyload/plugins/extractors/UnTar.py` não chama `TarInfo.isdev` para rejeitar tipos especiais de membros de tar antes de executar `tarfile.extractall`. Em ambientes Python 3.9 a 3.13, que utilizam por padrão um filtro de extração totalmente confiável, um usuário com permissões ADD e STATUS pode fazer o upload de um arquivo compactado manipulado para criar dispositivos de caractere, dispositivos de bloco ou FIFOs (First-In-First-Out, um tipo de pipe usado para comunicação entre processos). Se a aplicação for executada com privilégios que permitam a criação de dispositivos, como na implantação Docker baseada em root, isso pode expor dispositivos brutos e comprometer o host. Em implantações sem root, a criação de FIFOs pode causar travamentos do sistema ou confusão de IPC.

Ocorre uma referência direta insegura a objeto (IDOR) no serviço `PersonalAccountService`. Este problema permite que usuários com acesso ao escopo de Conta de E-mail recuperem senhas IMAP de outros usuários. Um invasor que possua o ID do registro de Conta de E-mail de uma vítima pode solicitar esse registro específico para roubar credenciais IMAP armazenadas e obter acesso não autorizado à caixa de correio da vítima.

Uma falha de autorização existe na ferramenta de tags nas ações `listpagestag` e `includepages`. Essas ações enumeram páginas sem aplicar a filtragem de read-ACL (Lista de Controle de Acesso), que é um mecanismo usado para restringir o acesso a páginas específicas com base nas permissões do usuário. Atacantes não autenticados ou sem privilégios podem incorporar essas ações usando uma tag ou nome de página específico para expor os nomes e títulos derivados do corpo de páginas restritas por ACLs.

Uma falha de server-side request forgery (SSRF) não autenticada permite que atacantes remotos forcem o servidor a buscar URLs arbitrárias. Isso é feito fornecendo uma ação de sindicação através do parâmetro `content` do manipulador de renderização. Atacantes podem visar hosts e portas internos, recuperar o conteúdo de feeds buscados na página renderizada e disparar o download de anexos de feeds para o diretório de arquivos.

Uma falha de server-side request forgery (SSRF) não autenticada permite que atacantes remotos forcem o servidor a buscar hosts e portas arbitrários. Isso é feito enviando o parâmetro `url` da ação {{valeur}} através do parâmetro `content` do endpoint 'handlers/page/render.php'. Esta falha permite a sondagem de serviços HTTP internos e a leitura do conteúdo de resposta que corresponda à marcação fiche.

Um invasor não autenticado pode realizar um server-side request forgery (SSRF) cego, que ocorre quando um servidor é enganado para fazer requisições a um local não pretendido. Isso é possível através do endpoint '/api/entries/bazarlist' utilizando o parâmetro `idtypeannonce`. O problema existe porque a função `isValidURL()` sempre retorna verdadeiro, permitindo que a função `loadURLContent()` utilize o curl para buscar URLs internas. Isso pode ser usado para sondar redes internas e acessar serviços internos ou endpoints de metadados.

Um problema em `LostPasswordAction.php` permite que atacantes não autenticados confirmem endereços de e-mail registrados ao analisar respostas diferentes do servidor. Isso ocorre na página de recuperação MotDePassePerdu, que carece de limitação de taxa (rate limiting), permitindo que atacantes identifiquem contas válidas para ataques direcionados de phishing ou password-spraying.

Um cliente autenticado com o recurso de exportação habilitado pode obter privilégios de root no host e comprometer outros inquilinos. O problema ocorre porque o cron de exportação de dados do cliente (DataDump) não valida os componentes de caminho intermediários do destino da exportação. Especificamente, a função `makeCorrectDir()` em `FroxlorFileDir` contém um erro de off-by-one durante sua caminhada pelos componentes do caminho, ignorando o primeiro segmento abaixo do diretório home do cliente. Além disso, a proteção em `ExportCron.php` verifica apenas o componente final usando `is link()`. Um invasor pode agendar uma exportação para um subdiretório e substituir um componente de caminho intermediário por um link simbólico antes que o cron, executado como root, seja processado. Isso faz com que o comando `chown -R` altere recursivamente a propriedade da árvore de diretórios vinculada, como /etc, para o UID do cliente.

O software falha ao invalidar sessões de painel existentes, chaves de API e cookies de confiança de 2FA quando a senha de um usuário é alterada. Isso permite que invasores que possuam sessões sequestradas, chaves de API válidas ou tokens de confiança de 2FA mantenham acesso total à conta mesmo após a rotação da senha, ignorando as medidas de resposta a incidentes.

Existe um problema onde a autenticação de dois fatores (2FA) é desativada imediatamente após uma requisição GET para a página de gerenciamento de 2FA, como o endpoint '/customer index.php?page=2fa&action=delete'. Este processo ocorre sem a necessidade de confirmação, reautenticação ou um token CSRF (Cross-Site Request Forgery)—um tipo de ataque que força um usuário autenticado a executar ações indesejadas. Como o middleware CSRF global protege apenas requisições POST, PUT, PATCH e DELETE, e o cookie de sessão utiliza SameSite=Lax, uma navegação de nível superior entre sites pode limpar silenciosamente as variáveis `type 2fa` e `data 2fa`. Tanto os manipuladores de 2FA de clientes quanto de administradores são afetados, permitindo que um invasor reduza uma conta apenas à autenticação por senha caso um usuário logado siga um link manipulado.

Uma condição de corrida de tempo de verificação e tempo de uso (TOCTOU) existe no cron de sincronização de chaves SSH dentro da função `SshKeys::generateFiles()` localizada em `lib/Froxlor/Cron/System/SshKeys.php`. TOCTOU é um erro de software onde um programa verifica o estado de um recurso antes de usá-lo, mas o estado muda entre a verificação e o uso. A validação realizada por `FileDir::makeCorrectDir()` e `makeCorrectFile()` ocorre apenas no momento da verificação, enquanto o caminho do sistema de arquivos é resolvido novamente como root durante o processo de gravação. Em instalações onde a variável `system.allow customer shell` está definida como 1, concedendo acesso ao shell local aos clientes, um invasor pode substituir seu diretório `~/.ssh` por um link simbólico após a verificação e antes da gravação. Isso permite que o cron executado como root anexe a chave pública do cliente a `/root/.ssh/authorized keys` e altere a propriedade de `/root/.ssh` para o cliente, resultando no comprometimento total do root do host do painel.

A restrição e a sanitização insuficientes da configuração `system.letsencryptchallengepath` permitem a injeção de comandos. O valor desta configuração é concatenado sem escape na linha de comando do acme.sh dentro do arquivo `lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php` e executado pelo cron do root através da função `FileDir::safe exec()`. Como a `safe exec()` apenas bloqueia metacaracteres de shell específicos, espaços e aspas são mantidos, permitindo que o valor seja dividido em argumentos adicionais do acme.sh. Um administrador ou qualquer ator capaz de alterar configurações, por exemplo, através da API de importação de configurações, pode injetar opções como `--renew-hook`, `--pre-hook` ou `--post-hook` para obter a execução de comandos arbitrários como root na próxima execução do cron do Let's Encrypt, ou utilizar `--config-home` e `--cert-home` para gravações arbitrárias de arquivos.

Existe um problema na tarefa cron de exclusão de dados FTP onde o sistema está suscetível à exclusão arbitrária de arquivos via seguimento de links simbólicos (symlinks). Quando uma conta FTP é excluída, a tarefa cron 8 (deleteFtpData) chama a função `makeCorrectDir()` sem o argumento `$fixed homedir`. Isso faz com que o sistema ignore a verificação de componentes de link simbólico e execute `rm -rf` como root no caminho resultante, utilizando apenas proteções de nível de string. Como a função `makeCorrectDir()` adiciona uma barra final, o GNU rm desreferencia links simbólicos usados como componentes intermediários ou finais do caminho. Um cliente autenticado com permissão de escrita no diretório home do FTP pode criar um link simbólico antes da execução da tarefa cron, permitindo que o processo root exclua recursivamente árvores de diretórios arbitrárias. Isso pode resultar na destruição de dados de outros locatários e na negação de serviço do host.

Arquivos ZIP de exportação de dados do usuário contêm segredos compartilhados de Senha de Uso Único Baseada em Tempo (TOTP) em texto simples. Um invasor que obtenha esses arquivos exportados pode extrair a semente TOTP para gerar códigos de uso único válidos, permitindo a ignorar a autenticação de dois fatores.

Existe um problema onde os endpoints de API do painel de administração 'searches' e 'content-health' aplicam a autenticação, mas falham em realizar as verificações de permissão necessárias. Isso permite que qualquer usuário autenticado, independentemente do seu nível de privilégio, acesse esses endpoints e leia estatísticas de pesquisa de todo o site e contadores de integridade de conteúdo.

Um problema de divulgação de informações existe no plugin MobileManager. Um visitante não autenticado pode enviar uma requisição GET para o endpoint 'plugin/MobileManager/getConfiguration.json.php' para recuperar dados de configuração sensíveis. As informações expostas incluem caminhos de arquivos de chave privada TLS, detalhes de configuração de socket, versão da plataforma e flags de depuração, o que pode facilitar ataques direcionados adicionais.