Skelmis

A plataforma de observabilidade de código aberto OpenObserve apresenta uma falha de segurança na qual não sanitiza as entradas do usuário no menu de seleção de filtros, o que pode levar à apropriação total da conta. O front-end utiliza `DOMPurify` ou modelos Vue para escapar de scripts entre sites (XSS) em muitas áreas, mas certas partes carecem dessa proteção. Combinando a falta de proteção com o tratamento inseguro da autenticação, um usuário mal-intencionado pode ser capaz de assumir o controle da conta de qualquer vítima se seguir as etapas de exploração.

Uma vulnerabilidade de Stored Cross Site Scripting permite que um invasor remoto obtenha privilégios elevados por meio do componente notifications.html.

Existe uma omissão de MFA no fluxo OAuth do Firefly III, que permite que usuários mal-intencionados ignorem a verificação de autenticação de múltiplos fatores. Essa falha permite que atacantes utilizem password spraying—uma técnica onde senhas comuns são testadas em várias contas—para obter acesso a dados usando credenciais roubadas de outras fontes. Como as aplicações OAuth utilizam um ID incremental, elas são facilmente enumeráveis, permitindo que um atacante tente registrar uma aplicação OAuth no perfil de um usuário. A exploração bem-sucedida requer que o atacante possua o nome de usuário e a senha da vítima.

O ZITADEL oferece aos usuários a possibilidade de utilizar senhas de uso único baseadas em tempo (TOTP) e senhas de uso único (OTP) por SMS e e-mail. Embora o ZITADEL já ofereça aos administradores a opção de definir uma `Política de Bloqueio` com um número máximo de tentativas de verificação de senha malsucedidas, não havia tal mecanismo para verificações (T)OTP.

O problema diz respeito à interface do Piccolo Admin, que permite o envio de arquivos de mídia, incluindo arquivos SVG por padrão. Um invasor pode enviar um arquivo SVG malicioso que, ao ser carregado, pode proporcionar acesso arbitrário à página de administração. Esse acesso permite que o invasor execute várias ações, como obter acesso a todos os dados armazenados na página de administração, criar, modificar ou excluir registros de tabelas. A vulnerabilidade explora o contexto de uma sessão de administrador autenticada, permitindo que o invasor realize ações que normalmente seriam restritas.

The handling of named transaction savepoints in all database implementations is vulnerable to SQL Injection via f-strings. This could allow a malicious user to have direct access to the database and modify data to the level of permissions associated with the database user. Possible actions based on database permissions include reading all data stored in the database, inserting arbitrary data, and gaining a shell on the underlying server.

ZITADEL is an identity infrastructure management system where users can upload their own avatar image using various image types, including SVG. SVG can include scripts, such as javascript, which can be executed during rendering. Due to a missing security header, an attacker could inject code to an SVG to gain access to the victim’s account in certain scenarios. A victim would need to directly open the malicious image in the browser, where a single session in ZITADEL needs to be active for this exploit to work. If the possible victim had multiple or no active sessions in ZITADEL, the attack would not succeed.

The implementation of `BaseUser.login` in Piccolo leaks enough information to a malicious user, allowing them to generate a list of valid users on the platform. This list can be used in a password spray attack to attempt to take over user accounts on the platform. The impact of this issue is minor, as it requires chaining with other attack vectors to gain more than just a list of valid users. The likelihood of this issue is possible, as it requires minimal skills to exploit, especially given that the underlying login functionality for Piccolo-based sites is open source.