Valentin Holubec

Ocorre falsificação de solicitação cross-site quando a aplicação mescla os parâmetros `$ GET` e `$ POST` sem exigir um token anti-CSRF. Isso permite que atacantes remotos forjem ações privilegiadas, como a criação de usuários administradores, através da criação de links maliciosos ou páginas de navegação automática que emitem solicitações GET simples. Esta exploração aproveita a falta de proteção CSRF e o comportamento de cookies SameSite=Lax em navegações de nível superior.

Omnispace Agora Project through 26.10.0 contains a predictable token generation vulnerability that allows unauthenticated attackers to access private calendar data by exploiting a missing dateCrea value that causes the md5Id token to collapse to md5(calendarId.userId), both small enumerable integers. Attackers can compute valid tokens and request the misc&action=DisplayIcal endpoint with a forged md5Id to read any user's private calendar events without authentication.

Omnispace Agora Project through 26.10.0 contains an open redirect vulnerability that allows remote attackers to redirect users to arbitrary external URLs by manipulating the objUrl parameter in Ctrl.php's redir() function. Attackers can craft login links with objUrl set to a malicious site, causing the application to issue an HTTP 302 redirect to that external URL, which can be abused for phishing and credential theft.

Omnispace Agora Project through 26.10.0 contains an insecure direct object reference vulnerability that allows authenticated attackers to access another user's private mail by supplying a crafted reloadMailTypeId parameter to Ctrl::getCurObj() without a readRight() ownership check in CtrlMail.php. Attackers can manipulate the mail identifier value, such as reloadMailTypeId=mail-1, to retrieve the title and body of private messages belonging to other users, resulting in unauthorized disclosure of sensitive communications.

Omnispace Agora Project through 26.10.0 contains a stored cross-site scripting vulnerability that allows attackers to inject malicious HTML markup by controlling imported directory data or an uploaded CSV file, as values are rendered into table cell text and value attributes after only Txt::utf8Encode() with no HTML escaping in VuePersonsImportExport.php. Attackers can craft a CSV cell containing an attribute-breakout payload that is rendered verbatim and executed in the browser of the administrator performing the import, leading to arbitrary script execution in the administrative context.

Omnispace Agora Project through 26.10.0 contains a SQL injection vulnerability that allows authenticated general administrators to inject arbitrary SQL by setting the personsSort session value, which is concatenated unsanitized into ORDER BY clauses in MdlUser.php and MdlSpace.php. Attackers can submit an error-based extractvalue payload through personsSort to leak database information, such as the MariaDB version, via the user and space listing pages.

Omnispace Agora Project through 26.10.0 contains a predictable token generation vulnerability that allows unauthenticated attackers to forge the shared-calendar iCal share token by deriving md5Id() from predictable fields such as object creation time, which is self-disclosed through autorDate and the iCal CREATED field. Attackers can compute the creation minute and forge the md5Id token to access and read a shared calendar's iCal feed without authorization.

Omnispace Agora Project through 26.10.0 contains a broken access control vulnerability in which the isAutor() function in MdlObject.php grants accessRight=3 based solely on object authorship without verifying the user still belongs to the object's space. Attackers who were previously members and authored objects can retain unauthorized read access to space objects even after being removed from the space, leading to persistent information disclosure.

Existe um problema onde os tokens de redefinição de senha são gerados usando um método previsível, especificamente como `sha1(login.password)`. Como esse valor é determinístico e reutilizável, invasores não autenticados podem computar ou realizar força bruta no token usando combinações conhecidas ou presumidas de login e senha. Isso permite a criação de solicitações de redefinição de senha forjadas para sequestrar contas de usuários arbitrários.

O software armazena o token persistente remember-me literalmente no lado do servidor, tornando o valor armazenado idêntico à credencial do portador contida no cookie do usuário. Um invasor que obtenha o token armazenado, por exemplo, por meio de divulgação de banco de dados ou backup, pode repetir o valor em texto simples para se autenticar como o usuário vítima sem a necessidade de senha.

Existe um problema de fixação de sessão onde a aplicação falha em regenerar o identificador de sessão após um usuário se autenticar com sucesso. Isso permite que um invasor remoto sequestre uma sessão autenticada ao implantar um identificador de sessão conhecido no navegador da vítima antes do login.

Uma falha de path traversal existe que permite a atacantes gravar arquivos arbitrários fora do diretório temporário pretendido. Isso ocorre quando um valor `tmpFolderName` não ancorado é fornecido no caminho de destino do upload. Ao usar uma sequência de travessia direcionada à raiz da web através da variável `tmpFolderName`, um atacante pode gravar arquivos controlados no sistema e alcançar a execução remota de código.

Um controle de acesso quebrado na rota 'MobileFileDownload' permite que invasores não autenticados baixem arquivos arbitrários. O sistema falha ao realizar verificações de autorização adequadas, dependendo em vez disso de um token `md5(filename)`. Invasores que consigam adivinhar ou determinar nomes de arquivos podem gerar o token necessário para recuperar arquivos protegidos, resultando na divulgação não autorizada de informações.

Um problema de injeção de SQL existe na funcionalidade de calendário. Um invasor pode injetar SQL malicioso manipulando o parâmetro `sortEvents`, que é concatenado na cláusula ORDER BY sem sanitização no arquivo `app/ModCalendar/CtrlCalendar.php`. Esta falha pode ser explorada usando técnicas baseadas em erro, como payloads extractvalue, para recuperar informações do banco de dados, incluindo dados de versão, do sistema.

Um controle de acesso quebrado permite que um membro não administrativo crie contas de usuário ao invocar a ação de edição de usuário. Isso ocorre porque a função `actionVueEditUser` carece de uma verificação de autorização no nível da função, especificamente a ausência da aplicação do `editRight()`, o que pode levar à escalada de privilégios.

Um controle de acesso quebrado permite que um administrador de espaço atribua usuários a espaços fora de sua autoridade. Isso ocorre porque a afetação `spaceAffectList` é realizada sem verificar os direitos do chamador em relação ao espaço de destino. Especificamente, a ausência de uma verificação `readRight()` no join INSERT do fluxo de importação permite que invasores quebrem o isolamento de locatários e manipulem atribuições de usuário-espaço em espaços não autorizados.

Um problema de cross-site scripting refletido permite que atacantes não autenticados injetem atributos HTML maliciosos. Isso ocorre porque o parâmetro `visioUrl` não é roteado através do ramo de sanitização de URL do filtro de parâmetros e é decodificado (urldecoded) após a filtragem. Um atacante pode criar uma URL maliciosa contendo o parâmetro `visioUrl` com um payload de quebra de atributo para executar JavaScript arbitrário no navegador da vítima antes da autenticação.

Usuários autenticados podem realizar um ataque de cross-site scripting armazenado ao enviar um campo `adress` não sanitizado. Esta entrada é ecoada em um atributo de manipulador de evento onclick sem a neutralização de aspas, permitindo que scripts maliciosos sejam armazenados através do módulo Links. Quando outros usuários visualizam a lista de links, a carga útil é executada em seu navegador, o que pode levar ao sequestro de sessão ou comprometimento do lado do cliente.

Atacantes autenticados podem persistir marcações não neutralizadas ao enviar valores maliciosos como arrays POST bidimensionais através do fluxo de importação LDAP/person. Isso ocorre porque a função `paramsFilter()` não consegue percorrer arrays aninhados, permitindo que o filtro de parâmetros da requisição seja ignorado. Consequentemente, códigos de script arbitrários podem ser injetados em um perfil de usuário e executados nos navegadores de outros usuários que visualizarem esse perfil. O cross-site scripting armazenado é uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo.

Um problema de cross-site scripting armazenado existe que permite que usuários autenticados postem mensagens contendo iframes controlados por atacantes através do ramo HTMLPurifier SafeIframe do mensageiro. Isso permite que atacantes enviem iframes maliciosos que são armazenados e renderizados automaticamente para outros membros do canal, facilitando downloads drive-by de clique zero e a execução de JavaScript emoldurado nos navegadores dos destinatários.