Vectrain51

Existe uma condição de corrida no arquivo `plugin/PayPalYPT/ipn.php`. Isso ocorre porque o processo de verificação e inserção de deduplicação não é atômico, permitindo que invasores ignorem a proteção de replay de Notificação de Pagamento Instantâneo (IPN). Ao reproduzir simultaneamente uma notificação de pagamento recorrente válida capturada, múltiplas solicitações podem passar pela função `isRecurringPaymentIdUsed()`, permitindo que o invasor obtenha renovações de assinatura e créditos de carteira duplicados.

O sandbox de conteúdo Twig falha ao restringir os filtros de dump e serialização, especificamente `print r`, `vardump`, `json encode`, `yaml encode` e `string`. Isso ocorre porque a função `GravExtension::assertSandboxDumpSafe()` chama `SandboxExtension::isSandboxed()` sem um argumento `Source`, o que reporta apenas uma flag global de sandbox que nunca é ativada. Consequentemente, um usuário autenticado com direitos de edição de página pode usar o processamento Twig no conteúdo da página para despejar toda a configuração mesclada. Isso ignora a redação de caminhos na fachada `SandboxConfig` e expõe segredos confidenciais de plugins, incluindo credenciais SMTP, tokens de API, segredos de webhook e senhas de backend de cache.

Uma falha de autorização incorreta existe na função `update()` em `app/Http/Controllers/Users/UsersController`. A rota de edição de usuário único atribui o campo `activated` do payload da requisição antes de avaliar o gate de autorização `canEditAuthFields`. Isso permite que um usuário não administrador autenticado, com a permissão `users.edit` no escopo da empresa do alvo, envie uma requisição PUT para o endpoint '/users/{id}' e altere a flag `activated` de qualquer usuário, incluindo contas de administrador e superusuário. A desativação de um administrador resulta no bloqueio dessa conta no aplicativo. Apenas o campo `activated` é afetado; outros dados sensíveis e a API não são impactados.

A validação insuficiente dos caminhos raiz dos perfis de backup permite que usuários com acesso ao editor de perfil arquivem diretórios fora do diretório `GRAV ROOT`, desde que os caminhos não estejam incluídos na lista de negação pré-definida. Isso pode ser explorado usando caminhos de travessia para expor arquivos sensíveis de locais do sistema como /opt, /mnt ou /srv.

Quando a função `qs.parse` é utilizada com as opções `comma` e `throwOnLimitExceeded` definidas como `true`, um valor separado por vírgulas atribuído a uma chave de empilhamento de colchetes (ex: `a[]=1,2,3,4`) é dividido em um array sem ser validado em relação ao `arrayLimit`. Em contraste, o mesmo valor atribuído a chaves planas, indexadas, aninhadas ou pontuadas dispara corretamente um `RangeError`. Isso ocorre porque a verificação do `arrayLimit` em `lib/parse.js` era aplicada após o valor ser envolvido como um elemento aninhado, e uma tentativa subsequente de corrigir isso usando uma flag `isFlatArrayValue` não considerou a forma de chave `[]=`. Um invasor não autenticado pode explorar isso fornecendo um único parâmetro `a[]=` para ignorar os limites configurados e forçar o parser a alocar um array proporcional ao tamanho da requisição, podendo levar ao consumo excessivo de memória.