Therawdev

Três componentes de administração Livewire contêm falhas de autorização que permitem que um membro da equipe com apenas as permissões `view users` e `access dashboard` execute ações privilegiadas. Esta autorização inadequada permite que um invasor escale seus próprios privilégios concedendo permissões arbitrárias ao seu cargo, crie uma nova conta de administrador com uma senha escolhida ou exclua cargos e definições de permissões, levando a uma negação de serviço de Controle de Acesso Baseado em Função (RBAC). Os detalhes técnicos dos componentes afetados são os seguintes: - Em `packages/admin/src/Livewire/Components/Settings/Team/Permissions.php`, as funções `togglePermission()` e `removePermission()` autorizam incorretamente a permissão `view users` em vez da permissão `access setting` necessária. Além disso, o arquivo `packages/admin/resources/views/livewire/components/settings/team/permissions.blade.php` expõe IDs de permissão em manipuladores `wire:click`. - Em `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`, as funções `mount()` e `store()` aceitam a permissão `view users`, permitindo a criação de um administrador pré-verificado através da variável `role id`. - Em `packages/admin/src/Livewire/Pages/Settings/Team/RolePermission.php`, a função `deleteAction` não possui autorização de ação e apenas verifica se o cargo pode ser removido, enquanto o acesso à página é concedido via `view users`.

Uma falha existe no pipeline de pré-visualização de artefatos markdown. A função `generateMarkdownHtml()` (localizada em `client/src/utils/markdown.ts`) utiliza um renderizador de imagem personalizado que aciona um fallback para o renderizador padrão da biblioteca marked (v15.0.12) quando as URLs passam na verificação da allowlist `isSafeUrl`. Este renderizador padrão não realiza o escape de caracteres de aspas duplas no texto alternativo (alt text) da imagem. Um invasor pode explorar isso criando um texto alternativo contendo aspas duplas e manipuladores de eventos, como `" onload="payload`, para romper o atributo e executar scripts arbitrários no navegador da vítima através da propriedade `innerHTML` do elemento de conteúdo dentro do iframe de pré-visualização do Sandpack.

Um usuário autenticado do Subsonic pode ignorar as verificações de propriedade para ler ou excluir playlists pertencentes a outros usuários e sondar caminhos de arquivos arbitrários no host para verificar existência ou legibilidade. Isso ocorre porque o `playlist.UserID` é derivado do primeiro segmento de caminho do ID da playlist, mas não há contenção de caminho no caminho do arquivo resolvido. O problema envolve a travessia de caminho (path traversal) no parâmetro `id`, permitindo a violação da fronteira destinada a evitar referências diretas inseguras a objetos (IDOR), que é uma vulnerabilidade onde uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário.

Os endpoints da API Subsonic '/rest/deletePlaylist.view' e '/rest/getPlaylist.view' carecem de autorização por recurso. Um usuário autenticado, independentemente do nível de privilégio, pode excluir qualquer playlist ou ler o conteúdo completo (nome, comentário e lista de músicas) de qualquer playlist privada pertencente a outro usuário, incluindo administradores, fornecendo o `id` da playlist. O `id` da playlist é gerado usando `base64url("<userID>/<filename>.m3u")`. Como o `userID` é um número inteiro pequeno e os nomes dos arquivos são fornecidos pelo usuário ou derivados do tempo, esses IDs são previsíveis ou podem ter sido expostos anteriormente, permitindo que usuários com baixos privilégios excluam playlists de administradores ou exfiltrem dados privados.

Um erro de lógica na função `ServeCreateOrUpdatePlaylist()` permite a gravação arbitrária de arquivos no servidor de streaming de música.

Name of the Vulnerable Software and Affected Versions FreeScout versões anteriores a 1.8.212 Description FreeScout, uma central de ajuda e caixa de entrada compartilhada construída com o framework Laravel do PHP, não considera corretamente o parâmetro `limit user customer visibility` ao mesclar clientes em versões anteriores a 1.8.212. Recommendations Atualize para a versão 1.8.212 ou posterior.